远程主机受到 GLSA-201603-13 中所述的漏洞影响（Libreswan：多个漏洞）

    Libreswan 中的 pluto IKE 后台程序若是以 NSS 构建，会允许远程攻击者通过 IKE 数据包中 KE 负载的零 DH g^x 值，造成拒绝服务（断言失败和后台程序重新启动）。
      此外，远程攻击者可通过含有 (1) IPSEC DOI 值中设定的未分配位或 (2) 设为 ISAKMP_NEXT_SAK 的下一个负载值的 IKEv1 数据包，造成拒绝服务（后台程序重新启动）。
  影响：

    远程攻击者可能造成拒绝服务。
  变通方案：

    目前无任何已知的变通方案。

更新后的 libreswan 程序包修复了一个安全问题和若干缺陷，并添加了两项增强，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Libreswan 是 IPsec for Linux 和 IKE for Linux 的实现。IPsec 是 Internet 协议安全，使用强加密提供认证和加密服务。这些服务允许您通过不受信任的网络（例如，虚拟专用网络 (VPN)）构建安全隧道。

在 Libreswan 的 IKE 后台程序处理特定 IKEv1 负载的方式中发现一个缺陷。远程攻击者可发送特别构建的 IKEv1 负载，在处理过程中将导致拒绝服务（后台程序崩溃）。(CVE-2015-3204)

Red Hat 在此感谢 Javantea 报告此问题。

此更新修复了以下缺陷：

* 此前，programs/pluto/state.h 和 programs/pluto/kernel_netlink.c 文件的最大 SELinux 上下文分别是 257 和 1024。由 libreswan 制定的这些限制对使用带标签的 Internet 协议安全 (IPsec) 时可通过 pluto（IPSec 后台程序）交换的上下文大小进行了限制。
带标签的 IPsec 的 SElinux 标签已扩展至 4096 字节，上述限制不再存在。(BZ#1198650)

* 在某些架构上，内核 AES_GCM IPsec 算法未正常使用加速驱动程序。在这些内核上，一些加速模块已添加到 modprobe 黑名单。但是， Libreswan 忽略了此黑名单，从而导致 AES_GCM 失败。
本次更新将对模块黑名单的支持添加到 libreswan 程序包，从而避免 AES_GCM 失败。
(BZ#1208022)

* IPv6 问题已得到解决，从而避免建立 IPsec 隧道（并重新启动某一端点）后 ipv6-icmp 邻居发现可正常工作。升级时，请确保 /etc/ipsec.conf 使用 /etc/ipsec.conf 'include' 语句加载所有 /etc/ipsec.d/*conf 文件，或将此新配置文件明确包括在 /etc/ipsec.conf 中。(BZ#1208023)

* FIPS 自测试阻止 libreswan 以 FIPS 模式正常启动。此缺陷已修复，现在可在 FIPS 模式下正常运行 libreswan。(BZ#1211146)

此外，此更新还添加了以下增强：

* 新选项“seedbits=”已添加，以便在启动时预传播 /dev/random 文件中包含熵的网络安全服务 (NSS) 伪随机数发生器 (PRNG) 函数。默认情况下，此选项为禁用状态。可以通过在 /etc/ipsec.conf 文件的“配置设置”部分中设置“seedbits=”选项来启用该选项。
(BZ#1198649)

* 现在，版本进程对 Internet 密钥交换版本 1 和 2（IKEv1 和 IKEv2）PRF/PRF+ 函数运行加密算法验证程序 (CAVP) 证书测试。(BZ#1213652)

建议所有 libreswan 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。

在 Libreswan 的 IKE 后台程序处理特定 IKEv1 负载的方式中发现一个缺陷。远程攻击者可发送特别构建的 IKEv1 负载，在处理过程中将导致拒绝服务（后台程序崩溃）。(CVE-2015-3204)

此更新修复了以下缺陷：

- 此前，programs/pluto/state.h 和 programs/pluto/kernel_netlink.c 文件的最大 SELinux 上下文分别是 257 和 1024。由 libreswan 制定的这些限制对使用带标签的 Internet 协议安全 (IPsec) 时可通过 pluto（IPSec 后台程序）交换的上下文大小进行了限制。带标签的 IPsec 的 SElinux 标签已扩展至 4096 字节，上述限制不再存在。

- 在某些架构上，内核 AES_GCM IPsec 算法未正常使用加速驱动程序。在这些内核上，一些加速模块已添加到 modprobe 黑名单。但是， Libreswan 忽略了此黑名单，从而导致 AES_GCM 失败。
 本次更新将对模块黑名单的支持添加到 libreswan 程序包，从而避免 AES_GCM 失败。

- IPv6 问题已得到解决，从而避免建立 IPsec 隧道（并重新启动某一端点）后 ipv6-icmp 邻居发现可正常工作。升级时，请确保 /etc/ipsec.conf 使用 /etc/ipsec.conf 'include' 语句加载所有 /etc/ipsec.d/*conf 文件，或将此新配置文件明确包括在 /etc/ipsec.conf 中。

- FIPS 自测试阻止 libreswan 以 FIPS 模式正常启动。此缺陷已修复，现在可在 FIPS 模式下正常运行 libreswan。

此外，此更新还添加了以下增强：

- 新选项“seedbits=”已添加，以便在启动时预传播 /dev/random 文件中包含熵的网络安全服务 (NSS) 伪随机数发生器 (PRNG) 函数。默认情况下，此选项为禁用状态。可以通过在 /etc/ipsec.conf 文件的“配置设置”部分中设置“seedbits=”选项来启用该选项。

- 现在，版本进程对 Internet 密钥交换版本 1 和 2（IKEv1 和 IKEv2）PRF/PRF+ 函数运行加密算法验证程序 (CAVP) 证书测试。

远程 Oracle Linux 7 主机上安装的一个程序包受到 ELSA-2015-1154 公告中提及的一个漏洞影响。

    - 解决了 rhbz#1226407 CVE-2015-3204 libreswan特制的 IKE 数据包造成后台程序重新启动

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
89906	GLSA-201603-13 : Libreswan：多个漏洞	Nessus	Gentoo Local Security Checks	2016/3/14	2021/1/11	medium
84360	RHEL 7：libreswan (RHSA-2015:1154)	Nessus	Red Hat Local Security Checks	2015/6/24	2021/2/5	medium
84393	Scientific Linux 安全更新：SL7.x x86_64 中的 libreswan	Nessus	Scientific Linux Local Security Checks	2015/6/25	2021/1/14	medium
84354	Oracle Linux 7：libreswan (ELSA-2015-1154)	Nessus	Oracle Linux Local Security Checks	2015/6/24	2025/4/29	high
84348	CentOS 7：libreswan (CESA-2015:1154)	Nessus	CentOS Local Security Checks	2015/6/24	2021/1/4	medium

检测

插件搜索

medium

medium

medium

high

medium