Avis du CERT-FR
Objet : Vulnérabilité de isakmpd
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Manipulation de données
Systèmes affectés
- NetBSD 1.6, NetBSD 1.6.1, NetBSD-current (si les sources sont antérieures au 17 janvier 2004).
- Toutes les versions d'OpenBSD ;
Résumé
Plusieurs vulnérabilités dans la gestion des messages par isakmpd permettent à un utilisateur mal intentionné d'effacer des associations de sécurité (SA ou Security Associations) et de réaliser un déni de service dans la cadre d'un trafic réseau chiffré et/ou authentifié.
Description
isakmpd est un service de gestion des clefs IKE. isakmpd gère notamment les associations de sécurité (SA ou Security Associations) pour du trafic réseau chiffré et/ou authentifié. Plusieurs vulnérabilités dans la gestion des messages par isakmpd permettent à un utilisateur mal intentionné d'effacer des associations de sécurité (SA ou Security Associations) et de réaliser un déni de service dans la cadre d'un trafic réseau chiffré et/ou authentifié.
Solution
-
Pour OpenBSD version 3.4, mettre à jour OpenBSD en appliquant le correctif disponible à cette adresse :
ftp://ftp.openbsd.org/pub/OpenBSD/patches/3.4/common/009_isakmpd.patch -
Pour NetBSD, mettre à jour selon la version de NetBSD (cf. avis de sécurité NetBSD dans la section Documentation).
Documentation
-
Avis de sécurité OpenBSD 009_isakmpd du 13 janvier 2004
http://www.openbsd.org/errata.html#isakmpd -
Avis de sécurité NetBSD SA2004-001 :
ftp://ftp.NetBSD.org/pub/NetBSD/security/advisories/NetBSD-SA2004-001.txt.asc
Gestion détaillée du document
| Date | Description |
|---|---|
| 15 janvier 2004 | version initiale. |
| 20 février 2004 | ajout du bulletin de sécurité NetBSD. |