Avis du CERT-FR
Objet : Multiples vulnérabilités de isakmpd sous OpenBSD
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Déni de service
Systèmes affectés
- OpenBSD 3.4 et versions antérieures ;
- OpenBSD-current du 17 mars 2004 et versions antérieures.
Résumé
De multiples vulnérabilités présentes dans le service isakmpd peuvent être exploitées par un utilisateur mal intentionné afin de réaliser un déni de service sur la plate-forme vulnérable.
Description
isakmpd est un service de gestion des clefs IKE. isakmpd gère notamment les associations de sécurité (SA ou Security Associations) pour du trafic réseau chiffré et/ou authentifié (IPSEC).
Au moyen de paquets habilement constitués, un utilisateur mal intentionné peut réaliser un déni de service par arrêt intempestif du service ou consommation excessive des ressources du systèmes (mémoire, CPU).
Solution
Pour OpenBSD version 3.4, appliquer le correctif disponible à cette adresse :
ftp://ftp.openbsd.org/pub/OpenBSD/patches/3.4/common/015_isakmpd2.patch
Pour OpenBSD version 3.3, appliquer le correctif disponible à cette adresse :
ftp://ftp.openbsd.org/pub/OpenBSD/patches/3.3/common/020_isakmpd2.patch
Documentation
-
Bulletin de sécurité R7-0018 de Rapid7
http://www.rapid7.com/advisories/R7-0018.html -
Avis de sécurité FreeBSD du 31 mars 2004 :
http://www.vuxml.org/freebsd/ -
Bulletin de sécurité OpenBSD #015 du 17 mars 2004 :
http://www.openbsd.org/errata.html#isakmpd2 -
Mise à jour de sécurité du paquetage NetBSD isakmpd :
ftp://ftp.netbsd.org/pub/NetBSD/packages/distfiles/vulnerabilities
Gestion détaillée du document
| Date | Description |
|---|---|
| 24 mars 2004 | version initiale. |
| 12 mai 2004 | ajout références aux bulletins de sécurité FreeBSD et NetBSD. |