L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de IPSec : vulnérabilités de certaines implémentations du protocole ISAKMP

Synthèse de la vulnérabilité 

Plusieurs implémentations du protocole ISAKMP sont sensibles aux mêmes vulnérabilités.
Produits vulnérables : FW-1, VPN-1, ASA, Cisco Catalyst, IOS par Cisco, Cisco Router, Cisco VPN Concentrator, Debian, Fedora, Tru64 UNIX, HP-UX, Juniper E-Series, Juniper J-Series, JUNOSe, Junos OS, Mandriva Linux, NETASQ, NetBSD, openSUSE, Openswan, Solaris, RHEL, SEF, SGS, Unix (plateforme) ~ non exhaustif.
Gravité de cette faille : 3/4.
Nombre de vulnérabilités dans ce bulletin : 14.
Date de création : 14/11/2005.
Date de révision : 22/11/2005.
Références de ce bulletin : 102040, 102246, 10310, 20060501-01-U, 273756, 273756/NISCC/ISAKMP, 6317027, 6348585, 68158, BID-15401, BID-15402, BID-15416, BID-15420, BID-15474, BID-15479, BID-15516, BID-15523, BID-17030, BID-17902, c00602119, CERTA-2005-AVI-458, CERTA-2005-AVI-504, CQ/68020, CSCed94829, CSCei14171, CSCei15053, CSCei19275, CSCei46258, CSCsb15296, CVE-2005-3666, CVE-2005-3667, CVE-2005-3668, CVE-2005-3669, CVE-2005-3670, CVE-2005-3671, CVE-2005-3672, CVE-2005-3673, CVE-2005-3674, CVE-2005-3675, CVE-2005-3732, CVE-2005-3733, CVE-2005-3768, CVE-2006-2298, DSA-965-1, FEDORA-2005-1092, FEDORA-2005-1093, FLSA:190941, FLSA-2006:190941, HPSBTU02100, HPSBUX02076, MDKSA-2006:020, NetBSD-SA2006-003, NISCC/ISAKMP/273756, PR/61076, PR/61779, PSN-2005-11-007, RHSA-2006:026, RHSA-2006:0267-01, SEF8.0-20051114-00, sk31316, SSRT050979, SUSE-SA:2005:070, SYM05-025, VIGILANCE-VUL-5352, VU#226364.

Description de la vulnérabilité 

Le protocole IPSec permet de créer des VPN. L'établissement d'un tunnel IPSec nécessite de disposer de SA (Security Associations: algorithme, taille de clé, etc.) entre les deux entités. Les SA peuvent être configurés par l'administrateur, ou automatiquement échangés. Dans ce cas, le protocole d'échange IKE (Internet Key Exchange) est utilisé. IKE est basé sur ISAKMP (ainsi que sur Oakley et Skeme). Le protocole ISAKMP (Internet Security Association and Key Management Protocol) définit un cadre générique (format et mécanismes). ISAKMP utilise deux phases : établissement d'une connexion sécurisée (phase 1, main mode ou aggressive mode), puis utilisation de cette connexion pour échanger un ou plusieurs SA (phase 2, quick mode). Le mode "aggressive" utilise moins d'échanges que le mode "main" et son utilisation n'est donc pas recommandée.

Plusieurs produits implémentent incorrectement la phase 1 du protocole ISAKMP/IKEv1. Ils comportent des vulnérabilités de type buffer overflow, attaque par format ou déni de service.

En fonction des produits, ces vulnérabilités permettent donc de faire exécuter de code ou de mener un déni de service.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette alerte cybersécurité concerne les logiciels ou systèmes comme FW-1, VPN-1, ASA, Cisco Catalyst, IOS par Cisco, Cisco Router, Cisco VPN Concentrator, Debian, Fedora, Tru64 UNIX, HP-UX, Juniper E-Series, Juniper J-Series, JUNOSe, Junos OS, Mandriva Linux, NETASQ, NetBSD, openSUSE, Openswan, Solaris, RHEL, SEF, SGS, Unix (plateforme) ~ non exhaustif.

Notre équipe Vigil@nce a déterminé que la gravité de cet avis de menace est important.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de client internet.

Ce bulletin concerne 14 vulnérabilités.

Un attaquant avec un niveau de compétence expert peut exploiter cette annonce de menace informatique.

Solutions pour cette menace 

Cisco : versions des implémentations IPSec IKE.
L'annonce de Cisco indique les versions vulnérables et les versions corrigées.

Debian : nouveaux paquetages ipsec-tools.
De nouveaux paquetages sont disponibles :
Debian GNU/Linux 3.1 alias sarge
  Intel IA-32 architecture:
    http://security.debian.org/pool/updates/main/i/ipsec-tools/ipsec-tools_0.5.2-1sarge1_i386.deb
      Size/MD5 checksum: 78114 7696967815385e56dce90c53db5bfead
    http://security.debian.org/pool/updates/main/i/ipsec-tools/racoon_0.5.2-1sarge1_i386.deb
      Size/MD5 checksum: 291490 4c2cb51dd43c7d778b63227708b27e42
  Intel IA-64 architecture:
    http://security.debian.org/pool/updates/main/i/ipsec-tools/ipsec-tools_0.5.2-1sarge1_ia64.deb
      Size/MD5 checksum: 103870 f85f08d8b87206013639945a64180315
    http://security.debian.org/pool/updates/main/i/ipsec-tools/racoon_0.5.2-1sarge1_ia64.deb
      Size/MD5 checksum: 408352 78b6511d113e672f06f245a5e2b0fd91

Fedora Core 2, 3 : nouveaux paquetages ipsec-tools.
De nouveaux paquetages sont disponibles :
Fedora Core 2:
 SRPM: http://download.fedoralegacy.org/fedora/2/updates/SRPMS/ipsec-tools-0.5-2.fc2.1.legacy.src.rpm
 i386: http://download.fedoralegacy.org/fedora/2/updates/i386/ipsec-tools-0.5-2.fc2.1.legacy.i386.rpm
Fedora Core 3:
 SRPM: http://download.fedoralegacy.org/fedora/3/updates/SRPMS/ipsec-tools-0.5-2.fc3.1.legacy.src.rpm
 i386: http://download.fedoralegacy.org/fedora/3/updates/i386/ipsec-tools-0.5-2.fc3.1.legacy.i386.rpm
 x86_64: http://download.fedoralegacy.org/fedora/3/updates/x86_64/ipsec-tools-0.5-2.fc3.1.legacy.x86_64.rpm

Fedora : nouveaux paquetages openswan.
De nouveaux paquetages sont disponibles :
  http://download.fedora.redhat.com/pub/fedora/linux/core/updates/3/
79f000a19d216fc95f1bd0f24bd1bf41 SRPMS/openswan-2.4.4-0.FC3.1.src.rpm
6fe24a0ab188b4b0e45d610bfda9b554 x86_64/openswan-2.4.4-0.FC3.1.x86_64.rpm
c1c42f6af380064673bfa648c37349ee x86_64/openswan-doc-2.4.4-0.FC3.1.x86_64.rpm
1dc85100f037b3b18db1a6f0069cad1e i386/openswan-2.4.4-0.FC3.1.i386.rpm
93e5a2376e1373ee40b8ad7960f89dc2 i386/openswan-doc-2.4.4-0.FC3.1.i386.rpm
  http://download.fedora.redhat.com/pub/fedora/linux/core/updates/4/
fe9bc3fa5ef955e12050a4e19fc2b9b6 SRPMS/openswan-2.4.4-1.0.FC4.1.src.rpm
8d46760e08073c0932fff34d4fe8da06 ppc/openswan-2.4.4-1.0.FC4.1.ppc.rpm
acc08c24adbc56dacbaa2f6313216bdd ppc/openswan-doc-2.4.4-1.0.FC4.1.ppc.rpm
57b16a581d23a636785cd592ba84bcdf x86_64/openswan-2.4.4-1.0.FC4.1.x86_64.rpm
e970d54a13742f49fe99862f8b286efe x86_64/openswan-doc-2.4.4-1.0.FC4.1.x86_64.rpm
ccf4eef51f820f89baa9f18a3a3ff15f i386/openswan-2.4.4-1.0.FC4.1.i386.rpm
4f952b746ab8d9bc95cb2e830f1313d2 i386/openswan-doc-2.4.4-1.0.FC4.1.i386.rpm

HP-UX : versions IPSec.IPSEC2-KRN.
Les versions suivantes sont corrigées :
HP-UX B.11.00 : IPSec A.01.05.01
HP-UX B.11.11 : IPSec A.01.07.02
HP-UX B.11.11 : IPSec A.02.01
HP-UX B.11.23 : IPSec A.02.01

IPsec Tools : version 0.6.3.
La version 0.6.3 est corrigée :
  http://sourceforge.net/project/showfiles.php?group_id=74601&package_id=74949&release_id=372605

Juniper : versions de JUNOSe et JUNOS.
Les versions suivantes de JUNOSe sont corrigées :
  5-2-4p0-8
  5-2-5
  5-3-4p0-5
  6-0-2p0-5
  6-0-3
  6-1-1p0-7
  6-1-2
  7-0-0p0-1
  7-0-1
  7-1-0
Les versions de JUNOS postérieures au 20 juillet 2005 sont corrigées.

Mandriva Linux : nouveaux paquetages ipsec-tools.
De nouveaux paquetages sont disponibles :
 Mandriva Linux 10.1:
 c1f74be6f3c46152881ded66022a3928 10.1/RPMS/ipsec-tools-0.2.5-2.2.101mdk.i586.rpm
 c8416853386be9e80b5f8ac6de16cf93 10.1/RPMS/libipsec-tools0-0.2.5-2.2.101mdk.i586.rpm
 278751ee3fca05321059c67f39f1a0f0 10.1/SRPMS/ipsec-tools-0.2.5-2.2.101mdk.src.rpm
 Mandriva Linux 10.1/X86_64:
 5d3d19d02d0d5a8eb5fcc237768fb07f x86_64/10.1/RPMS/ipsec-tools-0.2.5-2.2.101mdk.x86_64.rpm
 464dadc90a736f6312a6c143c12a4cce x86_64/10.1/RPMS/lib64ipsec-tools0-0.2.5-2.2.101mdk.x86_64.rpm
 278751ee3fca05321059c67f39f1a0f0 x86_64/10.1/SRPMS/ipsec-tools-0.2.5-2.2.101mdk.src.rpm
 Mandriva Linux 10.2:
 75b061a206ba4a943904d384e489036c 10.2/RPMS/ipsec-tools-0.5-4.2.102mdk.i586.rpm
 3c17715ce5bd1e63347e844bca518fa3 10.2/RPMS/libipsec0-0.5-4.2.102mdk.i586.rpm
 c221e9fbca14cc956df812605aa67b96 10.2/RPMS/libipsec0-devel-0.5-4.2.102mdk.i586.rpm
 313ae7a9fd1eceb117515c61f19f0a2a 10.2/SRPMS/ipsec-tools-0.5-4.2.102mdk.src.rpm
 Mandriva Linux 10.2/X86_64:
 2de25a175eff7fbb77758993965110a5 x86_64/10.2/RPMS/ipsec-tools-0.5-4.2.102mdk.x86_64.rpm
 ff5095c574441578b6e6e1c9384bf05c x86_64/10.2/RPMS/lib64ipsec0-0.5-4.2.102mdk.x86_64.rpm
 db6e3f33dc2326528a4c22e199e2c0fa x86_64/10.2/RPMS/lib64ipsec0-devel-0.5-4.2.102mdk.x86_64.rpm
 313ae7a9fd1eceb117515c61f19f0a2a x86_64/10.2/SRPMS/ipsec-tools-0.5-4.2.102mdk.src.rpm
 Mandriva Linux 2006.0:
 a3881692a4ee81a3e4759500691ba86d 2006.0/RPMS/ipsec-tools-0.5.2-5.1.20060mdk.i586.rpm
 4523963e017054a149cc9c6c46e6fa39 2006.0/RPMS/libipsec0-0.5.2-5.1.20060mdk.i586.rpm
 9208a98bc79efce31e8bf08c5a409431 2006.0/RPMS/libipsec0-devel-0.5.2-5.1.20060mdk.i586.rpm
 390a8547034610a0ebd6a30f8752c36d 2006.0/SRPMS/ipsec-tools-0.5.2-5.1.20060mdk.src.rpm
 Mandriva Linux 2006.0/X86_64:
 89c02c5eebb80544fb54cf8876183d92 x86_64/2006.0/RPMS/ipsec-tools-0.5.2-5.1.20060mdk.x86_64.rpm
 833ab780f0ef3eb86da1c2aa82746c72 x86_64/2006.0/RPMS/lib64ipsec0-0.5.2-5.1.20060mdk.x86_64.rpm
 d875aeb7f90b36eba89ff2e2b901a3cc x86_64/2006.0/RPMS/lib64ipsec0-devel-0.5.2-5.1.20060mdk.x86_64.rpm
 390a8547034610a0ebd6a30f8752c36d x86_64/2006.0/SRPMS/ipsec-tools-0.5.2-5.1.20060mdk.src.rpm

NETASQ : versions 5.1.5, 6.0.10 et 6.1.3.1.
Les versions 5.1.5, 6.0.10 et 6.1.3.1 sont corrigées :
  http://www.netasq.fr/

NetBSD : patch pour racoon.
La version CVS est corrigée.
La procédure est décrite dans l'annonce NetBSD.

Openswan : version 2.4.4.
La version 2.4.4 est corrigée :
  http://www.openswan.org/download/
La version 2.4.2 était partiellement corrigée.

RHEL : nouveaux paquetages ipsec-tools.
De nouveaux paquetages sont disponibles :
Red Hat Enterprise Linux version 3: ipsec-tools-0.2.5-0.7.rhel3.3
Red Hat Enterprise Linux version 4: ipsec-tools-0.3.3-6.rhel4.1

SEF, SGS : mise à jour 20051114.
La mise à jour SEF8.0-20051114-00 est corrigée :
  Windows: http://www.symantec.com/techsupp/enterprise/products/sym_ent_firewall/sym_ent_fw_8/files.html
  Solaris: http://www.symantec.com/techsupp/enterprise/products/sym_ent_firewall/sym_ent_fw_8_sol/files.html
Les mises à jour pour Symantec Gateway Security sont indiquées dans l'annonce.

SGI ProPack : nouveaux paquetages.
Le patch 10310 est corrigé.
De nouveaux paquetages sont disponibles :
  ftp://oss.sgi.com/projects/sgi_propack/download/3/updates/RPMS
  ftp://oss.sgi.com/projects/sgi_propack/download/3/updates/SRPMS

Solaris : patch pour in.iked.
Un patch est disponible :
  SPARC Platform
    * Solaris 9 : 113451-11
    * Solaris 10 : 118371-07
  x86 Platform
    * Solaris 9 : 114435-10
    * Solaris 10 : 118372-07

SUSE : nouveaux paquetages ipsec-tools,freeswan,openswan.
De nouveaux paquetages sont disponibles :
   SUSE LINUX 10.0:
   ftp://ftp.suse.com/pub/suse/i386/update/10.0/rpm/i586/ipsec-tools-0.6-4.2.i586.rpm
         f82b5941ca8143a7f81315f2309c28e9
   ftp://ftp.suse.com/pub/suse/i386/update/10.0/rpm/i586/openswan-2.4.4-1.1.i586.rpm
         9d2318b4da837ae3175547ba261235c5
   
   SUSE LINUX 9.3:
   ftp://ftp.suse.com/pub/suse/i386/update/9.3/rpm/i586/ipsec-tools-0.5-5.2.i586.rpm
         57b586b7aaa612c6250a8b037afe9335
   ftp://ftp.suse.com/pub/suse/i386/update/9.3/rpm/i586/openswan-2.2.0-12.4.i586.rpm
         6c152ba37641677fc4c59c44199a9225
   
   SUSE LINUX 9.2:
   ftp://ftp.suse.com/pub/suse/i386/update/9.2/rpm/i586/ipsec-tools-0.4rc1-3.4.i586.rpm
         ca1ffa39b311744976bc9754f003c71f
   ftp://ftp.suse.com/pub/suse/i386/update/9.2/rpm/i586/openswan-2.2.0-8.4.i586.rpm
         88dedfd8ad12456158b0f60d0a4714f4
   
   SUSE LINUX 9.1:
   ftp://ftp.suse.com/pub/suse/i386/update/9.1/rpm/i586/freeswan-2.04_1.5.4-1.23.i586.rpm
         64b2fc324586f4af0060b8dd0c6597eb
   ftp://ftp.suse.com/pub/suse/i386/update/9.1/rpm/i586/ipsec-tools-0.3.3-1.9.i586.rpm
         c523ed28073d5d76a1468763cc3820ea

Tru64 UNIX : ERP pour ISAKMP.
Un ERP est disponible :
 HP Tru64 UNIX Version 5.1B-3
  Location: http://www.itrc.hp.com/service/patch/patchDetail.do?patchid=T64KIT1000381-V51BB26-ES-20060216
  Name: T64KIT1000381-V51BB26-ES-20060216
  MD5 Checksum: d81246af9e94cab699855d38fb50cb38
HP Tru64 UNIX Version 5.1B-2/PK4
  Location: http://www.itrc.hp.com/service/patch/patchDetail.do?patchid=T64KIT1000407-V51BB25-ES-20060217
  Name: T64KIT1000407-V51BB25-ES-20060217
  MD5 Checksum: 4576eebb3201b4188c12ebb1b83ae0b3

VPN-1, FireWall-1 : HFA pour IKE.
Un HFA est disponible :
  VPN-1/Firewall-1 NG with AI R54 : HFA_417
  VPN-1/Firewall-1 NG with AI R55 : HFA_16
  VPN-1/Firewall-1 NG with AI R55W : HFA_04
  VPN-1/Firewall-1 NG with AI R55P : HFA_06
  VPN-1 Pro NGX R60 : HFA_01
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit des alertes de vulnérabilités de systèmes. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications.