1 つのセキュリティ問題および複数のバグを修正し、複数の強化を追加する更新済みの libreswan パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

libreswan は Linux 用の IPsec IKE の実装です。IPsec はインターネットプロトコルセキュリティです。また、強力な暗号を使用して認証および暗号化サービスの両方を提供しています。これらのサービスを使用することで、仮想プライベートネットワーク（VPN）のような信頼されていないネットワークから安全なトンネルを構築できるようになります。

Liberswan の IKE デーモンが IKE KE ペイロードを処理する方法に、欠陥が見つかりました。リモートの攻撃者が g^x=0 の KE ペイロードを持つ特別に細工された IKE ペイロードを送信し、このペイロードが処理された場合、サービス拒否（デーモンクラッシュ）を引き起こす可能性があります。(CVE-2015-3240)

この問題は、Red Hat の Paul Wouters 氏によって発見されました。

注：過去のバージョンの Libreswan からアップグレードを行うと、/etc/ipsec.d/cacerts/ ディレクトリの既存の CA 証明書と /etc/ipsec.d/crls/ ディレクトリからの既存の証明書失効リスト（CRL）ファイルが、NSS データベースに自動的にインポートされます。完了後、これらのディレクトリが Libreswan によって使用されることはありません。新しい CA 証明書または新しい CRLS をインストールするためには、certutil および crlutil コマンドを使用してこれらを Network Security Services（NSS）データベースに直接インポートする必要があります。

この更新により、次の拡張機能も追加されます：

* この更新により、RFC 7383 IKEv2 Fragmentation、RFC 7619 Auth Null および ID Null に対するサポート、INVALID_KE 再ネゴシエーション、 NSS を介した CRL および OCSP サポート、IKEv2 に対する AES_CTR および AES_GCM サポート、FIPS コンプライアンスに対する CAVS テストが追加されます。

さらに、この更新は FIPS モードの FIPS アルゴリズム制限を強制し、パッケージの構築中に FIPS コンプライアンスに対する Composite Application Validation System（CAVS）テストを実行します。新しい暗号化アルゴリズム検証プログラム（CAVP）バイナリを使用していつでも CAVS テストを再実行することができます。FIPS モードであるかどうかに関わらず、pluto デーモンはさまざまなアルゴリズムに対して RFC テストベクトルを実行します。

さらに現在は、すべてのアーキテクチャにおいてコンパイル時に「-Werror」 GCC オプションが有効となり、すべての警告をエラーに変えることでセキュリティを強化します。（BZ#1263346）

* また、この更新ではいくつかのメモリリークを修正し、サブセカンドパケット再送信オプションを導入します。（BZ#1268773）

* この更新で Openswan から Libreswan への移行サポートを改善します。
具体的には、サフィックスなしで時間の値を取るすべての Openswan オプションがサポートされ、/etc/ipsec.conf ファイルで使用できるいくつかの新しいキーワードが導入されました。詳細については、関連する man ページを参照してください。（BZ#1268775）

* この更新により、「loopback=」オプションを介した loopback サポートは廃止されました。（BZ#1270673）

Libreswan の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

検出

RHEL 7：libreswan（RHSA-2015:1979）

medium Nessus プラグイン ID 86744

変更ログが見つかりません