RHEL 7：libreswan (RHSA-2015:1154)
medium Nessus 插件 ID 84360
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
更新后的 libreswan 程序包修复了一个安全问题和若干缺陷，并添加了两项增强，现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
Libreswan 是 IPsec for Linux 和 IKE for Linux 的实现。IPsec 是 Internet 协议安全，使用强加密提供认证和加密服务。这些服务允许您通过不受信任的网络（例如，虚拟专用网络 (VPN)）构建安全隧道。
在 Libreswan 的 IKE 后台程序处理特定 IKEv1 负载的方式中发现一个缺陷。远程攻击者可发送特别构建的 IKEv1 负载，在处理过程中将导致拒绝服务（后台程序崩溃）。(CVE-2015-3204)
Red Hat 在此感谢 Javantea 报告此问题。
此更新修复了以下缺陷：
* 此前，programs/pluto/state.h 和 programs/pluto/kernel_netlink.c 文件的最大 SELinux 上下文分别是 257 和 1024。由 libreswan 制定的这些限制对使用带标签的 Internet 协议安全 (IPsec) 时可通过 pluto（IPSec 后台程序）交换的上下文大小进行了限制。
带标签的 IPsec 的 SElinux 标签已扩展至 4096 字节，上述限制不再存在。(BZ#1198650)
* 在某些架构上，内核 AES_GCM IPsec 算法未正常使用加速驱动程序。在这些内核上，一些加速模块已添加到 modprobe 黑名单。但是， Libreswan 忽略了此黑名单，从而导致 AES_GCM 失败。
本次更新将对模块黑名单的支持添加到 libreswan 程序包，从而避免 AES_GCM 失败。
(BZ#1208022)
* IPv6 问题已得到解决，从而避免建立 IPsec 隧道（并重新启动某一端点）后 ipv6-icmp 邻居发现可正常工作。升级时，请确保 /etc/ipsec.conf 使用 /etc/ipsec.conf 'include' 语句加载所有 /etc/ipsec.d/*conf 文件，或将此新配置文件明确包括在 /etc/ipsec.conf 中。(BZ#1208023)
* FIPS 自测试阻止 libreswan 以 FIPS 模式正常启动。此缺陷已修复，现在可在 FIPS 模式下正常运行 libreswan。(BZ#1211146)
此外，此更新还添加了以下增强：
* 新选项“seedbits=”已添加，以便在启动时预传播 /dev/random 文件中包含熵的网络安全服务 (NSS) 伪随机数发生器 (PRNG) 函数。默认情况下，此选项为禁用状态。可以通过在 /etc/ipsec.conf 文件的“配置设置”部分中设置“seedbits=”选项来启用该选项。
(BZ#1198649)
* 现在，版本进程对 Internet 密钥交换版本 1 和 2（IKEv1 和 IKEv2）PRF/PRF+ 函数运行加密算法验证程序 (CAVP) 证书测试。(BZ#1213652)
建议所有 libreswan 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。
解决方案
更新受影响的 libreswan 和/或 libreswan-debuginfo 程序包。另见
https://libreswan.org/security/CVE-2015-3204/CVE-2015-3204.txt
插件详情
严重性: Medium
ID: 84360
文件名: redhat-RHSA-2015-1154.nasl
版本: 2.16
类型: local
代理: unix
发布时间: 2015/6/24
最近更新时间: 2021/2/5
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 4.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:libreswan, p-cpe:/a:redhat:enterprise_linux:libreswan-debuginfo, cpe:/o:redhat:enterprise_linux:7, cpe:/o:redhat:enterprise_linux:7.1, cpe:/o:redhat:enterprise_linux:7.2, cpe:/o:redhat:enterprise_linux:7.3, cpe:/o:redhat:enterprise_linux:7.4, cpe:/o:redhat:enterprise_linux:7.5, cpe:/o:redhat:enterprise_linux:7.6, cpe:/o:redhat:enterprise_linux:7.7
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2015/6/23
漏洞发布日期: 2015/7/1
参考资料信息
CVE: CVE-2015-3204
BID: 75392
RHSA: 2015:1154