S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 mai 2004 No CERTA-2004-AVI-123-003

Affaire suivie par :

CERTA

Objet : Vulnérabilité du service IKE racoon

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

2 Systèmes affectés

3 Résumé

4 Description

Une vulnérabilité est présente dans racoon dans le cas où les certificats X.509 sont utilisés pour l'authentification en phase 1. racoon ne vérifiant pas les signatures RSA, il est possible pour un utilisateur mal intentionné de réaliser une usurpation d'identité.

5 Solution

• La version 0.3rc5 du paquetage ipsec-tools corrige cette vulnérabililité :

  http://ipsec-tools.sourceforge.net
  

• Bulletin de sécurité GLSA-200404-05 de Gentoo

  http://www.gentoo.org/security/en/glsa/glsa-200404-05.xml
  

• Bulletin de sécurité MDKSA-2004:027 de Mandrake :

  http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2004:027
  

6 Documentation

• Projet Kame :

  http://www.kame.net
  

• Message de Ralf Spenneberg "CAN-2004-0155: The KAME IKE daemon racoon":

  http://marc.theaimsgroup.com/?l=full-disclosure&m=108137769100111&w=2
  

• Avis de sécurité FreeBSD du 07 avril 2004 :

  http://www.vuxml.org/freebsd/
  

• Mise à jour de sécurité du paquetage NetBSD racoon :

  ftp://ftp.netbsd.org/pub/NetBSD/packages/distfiles/vulnerabilities
  

• Bulletin de sécurité RedHat RHSA-2004-165 du 11 mai 2004 :

  http://rhn.redhat.com/errata/RHSA-2004-165.html
  

• Référence CVE CAN-2004-0155 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0155
  

Gestion détaillée du document

08 avril 2004

version initiale.

13 avril 2004

ajout référence au bulletin de sécurité de Mandrake.

12 mai 2004

ajout références aux bulletins de sécurité FreeBSD et NetBSD.

13 mai 2004

ajout référence au bulletin de sécurité RedHat.