bulletin de vulnérabilité CVE-2004-0590

Erreur d'authentification de strongSwan/openswan

Synthèse de la vulnérabilité

Les programmes de la famille strongSwan/Openswan ne vérifient pas correctement les certificats proposés par les clients.
Produits concernés : Arkoon FAST360, FreeSWAN, Mandriva Linux, Openswan, Unix (plateforme).
Gravité : 3/4.
Date création : 28/06/2004.
Dates révisions : 30/06/2004, 15/07/2004, 21/09/2004.
Références : CERTA-2004-AVI-245, CVE-2004-0590, MDKSA-2004:070, MDKSA-2004:070-1, V6-UNIXSWANX509USUR, VIGILANCE-VUL-4243.

Description de la vulnérabilité

Les programmes FreeS/WAN, openswan, strongSwan et FreeS/WAN sont issus du même code source. Ils permettent de créer des tunnels VPN.

Les clients VPN doivent normalement présenter des certificats X.509 valides afin d'être autorisés à se connecter sur ces serveurs.

Cependant, un attaquant peut usurper l'identité d'un utilisateur en créant un certificat spécial. La création de ce certificat nécessite de connaître le Distinguished Name de l'utilisateur. Cette vulnérabilité permet alors à un attaquant de se connecter sur le service VPN.

Lorqu'un client VPN présente un certificat X.509 dont la chaîne de certification contient une boucle, une boucle infinie se produit sur le serveur. Cette vulnérabilité permet ainsi de mener un déni de service.

Les programmes suivants sont sensibles à ces 2 vulnérabilités :
 - Arkoon < 3.0/19
 - FreeS/WAN 1.x avec le patch X.509 < 0.9.41
 - FreeS/WAN 2.x avec le patch X.509 < 1.6.1
 - openswan 1.x < 1.0.6
 - openswan 2.x < 2.1.4
 - strongSwan < 2.1.3
 - superfreeswan 1.x
Bulletin Vigil@nce complet.... (accès gratuit)

Partagez ce bulletin

          

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit un bulletin de vulnérabilité informatique. La veille sécurité Vigil@nce publie des bulletins de vulnérabilités pour les failles qui impactent le système d'information. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications. La cellule de veille technologique suit les menaces sécurité qui ciblent le parc informatique.