Andrew Cagney

O Libreswan não verifica corretamente o comprimento do hash de autenticação quando o payload SIG de um pacote IKEv1 é codificado usando PKCS #1 RSA Encryption. Isso ocorre na função `RSA authenticate hash signature raw rsa()`. Um invasor remoto pode explorar isso usando uma variação do ataque Bleichenbacher—um ataque criptográfico direcionado à criptografia RSA—para forjar o payload SIG quando expoentes públicos pequenos (como `e=3`) são utilizados, podendo levar à personificação. Além disso, ao codificar um hash menor do que o esperado no payload SIG, um invasor remoto pode disparar uma asserção que faz com que o daemon seja abortado e reiniciado, resultando em uma negação de serviço sustentada. A execução remota de código não é possível, e as verificações de certificados X.509 de pares IKE remotos não são afetadas.

O Libreswan não verifica corretamente a codificação DER do digest ASN.1 no payload AUTH do IKEv2 quando o RSASSA-PKCS1-v1 5 é utilizado. Isso ocorre na função `RSA authenticate hash signature pkcs1 1 5 rsa()`. Um invasor remoto pode explorar isso usando uma variação do ataque Bleichenbacher—um método de ataque à criptografia RSA—para forjar o payload AUTH quando expoentes públicos pequenos (como `e=3`) são usados, permitindo a personificação. Além disso, um invasor pode causar a negação de serviço ao codificar um hash menor do que o esperado no payload AUTH, o que dispara uma asserção que faz com que o daemon seja abortado e reiniciado. A execução remota de código não é possível, e as verificações de certificado X.509 do peer IKE remoto não são afetadas.