远程 Oracle Linux 7 主机上安装的一个程序包受到 ELSA-2015-1979 公告中提及的一个漏洞影响。

    - 已解决：rhbz#1259208 CVE-2015-3240

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 3.15 之前的 libreswan 和 2.6.45之前的 Openswan 中的 pluto IKE 后台程序在使用 NSS 构建时，允许远程攻击者通过 中 KE 负载中的零 DH g^x 值造成拒绝服务（断言失败和后台程序重新启动） IKE 数据包。 (CVE-2015-3240)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:1979 公告中提及的漏洞的影响。

    Libreswan 是 IPsec for Linux 和 IKE for Linux 的实现。IPsec 是 Internet 协议安全，使用强加密提供认证和加密服务。这些服务允许您通过不受信任的网络（例如，虚拟专用网络 (VPN)）构建安全隧道。

    在 Libreswan 的 IKE 后台程序处理 IKE KE 负载的方式中发现一个缺陷。远程攻击者可发送 KE 负载 g^x=0 的特制 IKE 负载，处理后可能导致拒绝服务（后台程序崩溃）。 (CVE-2015-3240)

    此问题由 Red Hat 的 Paul Wouters 发现。

    注意：如果从低版本 Libreswan 进行升级，/etc/ipsec.d/cacerts/ 目录中已有的 CA 证书和 /etc/ipsec.d/crls/ 目录中已有的证书吊销列表 (CRL) 文件会自动导入到 NSS 数据库中。完成后，Libreswan 将不再使用这些目录。为了安装新的 CA 证书或 CRL，必须使用 certutil 和 crlutil 命令将其直接导入至网络安全服务 (NSS) 数据库中。

    此更新还添加了以下增强：

    * 此更新添加了对 RFC 7383 IKEv2 分割、RFC 7619 Auth Null 和 ID Null 的支持； INVALID_KE 重新协商；通过 NSS 对 CRL 和 OCSP 的支持； AES_CTR 和 AES_GCM 对 IKEv2 的支持；以及针对 FIPS 合规性的 CAVS 测试。

    此外，此更新会在 FIPS 模式下强制使用 FIPS 算法限制，并且在程序包构建过程中运行复合应用程序验证系统 (CAVS) 测试 FIPS 合规性。可以随时使用新的加密算法验证程序 (CAVP) 二进制来重新运行 CAVS 测试。无论在何种 FIPS 模式下，pluto 后台程序始终将为各类算法运行 RFC 测试矢量。

    此外，在所有架构上进行编译现在会启用 -Werror GCC 选项，该选项可通过将所有警告转换为错误来增强安全性。
    (BZ#1263346)

    * 此更新还修复了若干内存泄漏问题，并引入次秒级数据包重传选项。 (BZ#1268773)

    * 此更新可改进对 Openswan 至 Libreswan 的迁移支持。
    具体而言，现已支持所有可采用无后缀时间值的 Openswan 选项，并且引入了多个新关键字以供在 /etc/ipsec.conf 文件中使用。有关详细信息，请参阅相关手册页。 (BZ#1268775)

    * 通过此更新，已弃用经由 loopback= 选项的环回支持。 (BZ#1270673)

    建议所有 Libreswan 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 libreswan 程序包修复了一个安全问题和多个缺陷并添加了多项增强，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Libreswan 是 IPsec for Linux 和 IKE for Linux 的实现。IPsec 是 Internet 协议安全，使用强加密提供认证和加密服务。这些服务允许您通过不受信任的网络（例如，虚拟专用网络 (VPN)）构建安全隧道。

在 Libreswan 的 IKE 后台程序处理 IKE KE 负载的方式中发现一个缺陷。远程攻击者可发送特别构建的，KE 负载为 g^x=0 的 IKE 负载，在处理该负载时导致拒绝服务（后台程序崩溃）。(CVE-2015-3240)

此问题由 Red Hat 的 Paul Wouters 发现。

注意：如果从低版本 Libreswan 进行升级，/etc/ipsec.d/cacerts/ 目录中已有的 CA 证书和 /etc/ipsec.d/crls/ 目录中已有的证书吊销列表 (CRL) 文件会自动导入到 NSS 数据库中。完成后，Libreswan 将不再使用这些目录。为了安装新的 CA 证书或 CRL，必须使用 certutil 和 crlutil 命令将其直接导入至网络安全服务 (NSS) 数据库中。

此更新还添加了以下增强：

* 此更新添加了对 RFC 7383 IKEv2 分割、RFC 7619 Auth Null 和 ID Null 的支持； INVALID_KE 重新协商；通过 NSS 对 CRL 和 OCSP 的支持； AES_CTR 和 AES_GCM 对 IKEv2 的支持；以及针对 FIPS 合规性的 CAVS 测试。

此外，此更新会在 FIPS 模式下强制使用 FIPS 算法限制，并且在程序包构建过程中运行复合应用程序验证系统 (CAVS) 测试 FIPS 合规性。可以随时使用新的加密算法验证程序 (CAVP) 二进制来重新运行 CAVS 测试。无论在何种 FIPS 模式下，pluto 后台程序始终将为各类算法运行 RFC 测试矢量。

此外，在所有架构上的编译现在启用“-Werror”GCC 选项，这会将所有警告升级为错误，从而增强安全性。(BZ#1263346)

* 此更新还修复了若干内存泄漏问题，并引入次秒级数据包重传选项。(BZ#1268773)

* 此更新可改进对 Openswan 至 Libreswan 的迁移支持。
具体而言，现已支持所有可采用无后缀时间值的 Openswan 选项，并且引入了多个新关键字以供在 /etc/ipsec.conf 文件中使用。有关详细信息，请参阅相关手册页。(BZ#1268775)

* 通过此更新，已弃用经由“loopback=”选项的环回支持。(BZ#1270673)

建议所有 Libreswan 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。

远程主机受到 GLSA-201603-13 中所述的漏洞影响（Libreswan：多个漏洞）

    Libreswan 中的 pluto IKE 后台程序若是以 NSS 构建，会允许远程攻击者通过 IKE 数据包中 KE 负载的零 DH g^x 值，造成拒绝服务（断言失败和后台程序重新启动）。
      此外，远程攻击者可通过含有 (1) IPSEC DOI 值中设定的未分配位或 (2) 设为 ISAKMP_NEXT_SAK 的下一个负载值的 IKEv1 数据包，造成拒绝服务（后台程序重新启动）。
  影响：

    远程攻击者可能造成拒绝服务。
  变通方案：

    目前无任何已知的变通方案。

在 Libreswan 的 IKE 后台程序处理 IKE KE 负载的方式中发现一个缺陷。远程攻击者可发送特别构建的，KE 负载为 g^x=0 的 IKE 负载，在处理该负载时导致拒绝服务（后台程序崩溃）。(CVE-2015-3240)

注意：如果从低版本 Libreswan 进行升级，/etc/ipsec.d/cacerts/ 目录中已有的 CA 证书和 /etc/ipsec.d/crls/ 目录中已有的证书吊销列表 (CRL) 文件会自动导入到 NSS 数据库中。完成后，Libreswan 将不再使用这些目录。为了安装新的 CA 证书或 CRL，必须使用 certutil 和 crlutil 命令将其直接导入至网络安全服务 (NSS) 数据库中。

此更新还添加了以下增强：

- 此更新添加了对 RFC 7383 IKEv2 分割、RFC 7619 Auth Null 和 ID Null 的支持； INVALID_KE 重新协商；通过 NSS 对 CRL 和 OCSP 的支持； AES_CTR 和 AES_GCM 对 IKEv2 的支持；以及针对 FIPS 合规性的 CAVS 测试。

此外，此更新会在 FIPS 模式下强制使用 FIPS 算法限制，并且在程序包构建过程中运行复合应用程序验证系统 (CAVS) 测试 FIPS 合规性。可以随时使用新的加密算法验证程序 (CAVP) 二进制来重新运行 CAVS 测试。无论在何种 FIPS 模式下，pluto 后台程序始终将为各类算法运行 RFC 测试矢量。

此外，在所有架构上的编译现在启用“-Werror”GCC 选项，这会将所有警告升级为错误，从而增强安全性。

- 此更新还修复了若干内存泄漏问题，并引入次秒级数据包重传选项。

- 此更新可改进对 Openswan 至 Libreswan 的迁移支持。具体而言，现已支持所有可采用无后缀时间值的 Openswan 选项，并且引入了多个新关键字以供在 /etc/ipsec.conf 文件中使用。有关详细信息，请参阅相关手册页。

- 通过此更新，已弃用经由“loopback=”选项的环回支持。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
86715	Oracle Linux 7：libreswan (ELSA-2015-1979)	Nessus	Oracle Linux Local Security Checks	2015/11/4	2025/4/29	high
218918	Linux Distros 未修补的漏洞: CVE-2015-3240	Nessus	Misc.	2025/3/4	2025/3/4	high
86744	RHEL 7：libreswan (RHSA-2015:1979)	Nessus	Red Hat Local Security Checks	2015/11/5	2025/4/15	high
86711	CentOS 7：libreswan (CESA-2015:1979)	Nessus	CentOS Local Security Checks	2015/11/4	2021/1/4	medium
89906	GLSA-201603-13 : Libreswan：多个漏洞	Nessus	Gentoo Local Security Checks	2016/3/14	2021/1/11	medium
86749	Scientific Linux 安全更新：SL7.x x86_64 中的 libreswan	Nessus	Scientific Linux Local Security Checks	2015/11/5	2021/1/14	medium

检测

插件搜索

high

high

high

medium

medium

medium