1 つのセキュリティ問題および複数のバグを修正し、複数の強化を追加する更新済みの libreswan パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

libreswan は Linux 用の IPsec IKE の実装です。IPsec はインターネットプロトコルセキュリティです。また、強力な暗号を使用して認証および暗号化サービスの両方を提供しています。これらのサービスを使用することで、仮想プライベートネットワーク（VPN）のような信頼されていないネットワークから安全なトンネルを構築できるようになります。

Liberswan の IKE デーモンが IKE KE ペイロードを処理する方法に、欠陥が見つかりました。リモートの攻撃者が g^x=0 の KE ペイロードを持つ特別に細工された IKE ペイロードを送信し、このペイロードが処理された場合、サービス拒否（デーモンクラッシュ）を引き起こす可能性があります。(CVE-2015-3240)

この問題は、Red Hat の Paul Wouters 氏によって発見されました。

注：過去のバージョンの Libreswan からアップグレードを行うと、/etc/ipsec.d/cacerts/ ディレクトリの既存の CA 証明書と /etc/ipsec.d/crls/ ディレクトリからの既存の証明書失効リスト（CRL）ファイルが、NSS データベースに自動的にインポートされます。完了後、これらのディレクトリが Libreswan によって使用されることはありません。新しい CA 証明書または新しい CRLS をインストールするためには、certutil および crlutil コマンドを使用してこれらを Network Security Services（NSS）データベースに直接インポートする必要があります。

この更新により、次の拡張機能も追加されます：

* この更新により、RFC 7383 IKEv2 Fragmentation、RFC 7619 Auth Null および ID Null に対するサポート、INVALID_KE 再ネゴシエーション、 NSS を介した CRL および OCSP サポート、IKEv2 に対する AES_CTR および AES_GCM サポート、FIPS コンプライアンスに対する CAVS テストが追加されます。

さらに、この更新は FIPS モードの FIPS アルゴリズム制限を強制し、パッケージの構築中に FIPS コンプライアンスに対する Composite Application Validation System（CAVS）テストを実行します。新しい暗号化アルゴリズム検証プログラム（CAVP）バイナリを使用していつでも CAVS テストを再実行することができます。FIPS モードであるかどうかに関わらず、pluto デーモンはさまざまなアルゴリズムに対して RFC テストベクトルを実行します。

さらに現在は、すべてのアーキテクチャにおいてコンパイル時に「-Werror」 GCC オプションが有効となり、すべての警告をエラーに変えることでセキュリティを強化します。（BZ#1263346）

* また、この更新ではいくつかのメモリリークを修正し、サブセカンドパケット再送信オプションを導入します。（BZ#1268773）

* この更新で Openswan から Libreswan への移行サポートを改善します。
具体的には、サフィックスなしで時間の値を取るすべての Openswan オプションがサポートされ、/etc/ipsec.conf ファイルで使用できるいくつかの新しいキーワードが導入されました。詳細については、関連する man ページを参照してください。（BZ#1268775）

* この更新により、「loopback=」オプションを介した loopback サポートは廃止されました。（BZ#1270673）

Libreswan の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

Red Hat セキュリティアドバイザリ 2015:1979 から：

1 つのセキュリティ問題および複数のバグを修正し、複数の強化を追加する更新済みの libreswan パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

libreswan は Linux 用の IPsec IKE の実装です。IPsec はインターネットプロトコルセキュリティです。また、強力な暗号を使用して認証および暗号化サービスの両方を提供しています。これらのサービスを使用することで、仮想プライベートネットワーク（VPN）のような信頼されていないネットワークから安全なトンネルを構築できるようになります。

Liberswan の IKE デーモンが IKE KE ペイロードを処理する方法に、欠陥が見つかりました。リモートの攻撃者が g^x=0 の KE ペイロードを持つ特別に細工された IKE ペイロードを送信し、このペイロードが処理された場合、サービス拒否（デーモンクラッシュ）を引き起こす可能性があります。(CVE-2015-3240)

この問題は、Red Hat の Paul Wouters 氏によって発見されました。

注：過去のバージョンの Libreswan からアップグレードを行うと、/etc/ipsec.d/cacerts/ ディレクトリの既存の CA 証明書と /etc/ipsec.d/crls/ ディレクトリからの既存の証明書失効リスト（CRL）ファイルが、NSS データベースに自動的にインポートされます。完了後、これらのディレクトリが Libreswan によって使用されることはありません。新しい CA 証明書または新しい CRLS をインストールするためには、certutil および crlutil コマンドを使用してこれらを Network Security Services（NSS）データベースに直接インポートする必要があります。

この更新により、次の拡張機能も追加されます：

* この更新により、RFC 7383 IKEv2 Fragmentation、RFC 7619 Auth Null および ID Null に対するサポート、INVALID_KE 再ネゴシエーション、 NSS を介した CRL および OCSP サポート、IKEv2 に対する AES_CTR および AES_GCM サポート、FIPS コンプライアンスに対する CAVS テストが追加されます。

さらに、この更新は FIPS モードの FIPS アルゴリズム制限を強制し、パッケージの構築中に FIPS コンプライアンスに対する Composite Application Validation System（CAVS）テストを実行します。新しい暗号化アルゴリズム検証プログラム（CAVP）バイナリを使用していつでも CAVS テストを再実行することができます。FIPS モードであるかどうかに関わらず、pluto デーモンはさまざまなアルゴリズムに対して RFC テストベクトルを実行します。

さらに現在は、すべてのアーキテクチャにおいてコンパイル時に「-Werror」 GCC オプションが有効となり、すべての警告をエラーに変えることでセキュリティを強化します。（BZ#1263346）

* また、この更新ではいくつかのメモリリークを修正し、サブセカンドパケット再送信オプションを導入します。（BZ#1268773）

* この更新で Openswan から Libreswan への移行サポートを改善します。
具体的には、サフィックスなしで時間の値を取るすべての Openswan オプションがサポートされ、/etc/ipsec.conf ファイルで使用できるいくつかの新しいキーワードが導入されました。詳細については、関連する man ページを参照してください。（BZ#1268775）

* この更新により、「loopback=」オプションを介した loopback サポートは廃止されました。（BZ#1270673）

Libreswan の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

リモートホストは、GLSA-201603-13（Libreswan：複数の脆弱性）で説明されている脆弱性の影響を受けます

Libreswan の pluto IKE デーモンにより、NSS でビルドされている場合、リモートの攻撃者が、IKE パケットの KE ペイロードのゼロ DH g^x 値を通じてサービス拒否（アサーションの失敗とデーモンの再起動）を引き起こすことが可能です。
 また、リモートの攻撃者が、(1) IPSEC DOI 値に未割り当てビットが設定されているか、または (2) 次のペイロード値が ISAKMP_NEXT_SAK に設定されている IKEv1 パケットを通じて、サービス拒否（デーモンの再起動）を引き起こす可能性があります。
 影響：

リモートの攻撃者が、サービス拒否を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Liberswan の IKE デーモンが IKE KE ペイロードを処理する方法に、欠陥が見つかりました。リモートの攻撃者が g^x=0 の KE ペイロードを持つ特別に細工された IKE ペイロードを送信し、このペイロードが処理された場合、サービス拒否（デーモンクラッシュ）を引き起こす可能性があります。(CVE-2015-3240)

注：過去のバージョンの Libreswan からアップグレードを行うと、/etc/ipsec.d/cacerts/ ディレクトリの既存の CA 証明書と /etc/ipsec.d/crls/ ディレクトリからの既存の証明書失効リスト（CRL）ファイルが、NSS データベースに自動的にインポートされます。完了後、これらのディレクトリが Libreswan によって使用されることはありません。新しい CA 証明書または新しい CRLS をインストールするためには、certutil および crlutil コマンドを使用してこれらを Network Security Services（NSS）データベースに直接インポートする必要があります。

この更新により、次の拡張機能も追加されます：

- この更新は、次の内容を追加します、RFC 7383 IKEv2 フラグメント化のサポート、RFC 7619 Auth Null および ID Null、INVALID_KE 再ネゴシエーション、NSS による CRL および OCSP のサポート、IKEv2 のための AES_CTR および AES_GCM のサポート、FIPS コンプライアンスに対する CAVS テスト。

さらに、この更新は FIPS モードの FIPS アルゴリズム制限を強制し、パッケージの構築中に FIPS コンプライアンスに対する Composite Application Validation System（CAVS）テストを実行します。新しい暗号化アルゴリズム検証プログラム（CAVP）バイナリを使用していつでも CAVS テストを再実行することができます。FIPS モードであるかどうかに関わらず、pluto デーモンはさまざまなアルゴリズムに対して RFC テストベクトルを実行します。

さらに現在は、すべてのアーキテクチャにおいてコンパイル時に「-Werror」 GCC オプションが有効となり、すべての警告をエラーに変えることでセキュリティを強化します。

- また、この更新では複数のメモリ漏洩を修正し、サブセカンドパケット再送信オプションを導入します。

- この更新で Openswan から Libreswan への移行サポートを改善します。具体的には、サフィックスなしで時間の値を取るすべての Openswan オプションがサポートされ、/etc/ipsec.conf ファイルで使用できるいくつかの新しいキーワードが導入されました。詳細については、関連する man ページを参照してください。

- この更新により、「loopback=」オプションを介した loopback サポートは廃止されました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
86711	CentOS 7：libreswan（CESA-2015:1979）	Nessus	CentOS Local Security Checks	2015/11/4	2021/1/4	medium
86715	Oracle Linux 7：libreswan（ELSA-2015-1979）	Nessus	Oracle Linux Local Security Checks	2015/11/4	2021/1/14	medium
86744	RHEL 7：libreswan（RHSA-2015:1979）	Nessus	Red Hat Local Security Checks	2015/11/5	2019/10/24	medium
89906	GLSA-201603-13：Libreswan：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/3/14	2021/1/11	medium
86749	Scientific Linux セキュリティ更新：SL7.x x86_64 上の libreswan	Nessus	Scientific Linux Local Security Checks	2015/11/5	2021/1/14	medium

検出

プラグインの検索

medium

medium

medium

medium

medium