CVE-2023-38711
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W Libreswan przed wersją 4.12 odkryto problem, który występuje, gdy połączenie IKEv1 Quick Mode skonfigurowane z ID_IPV4_ADDR lub ID_IPV6_ADDR otrzymuje ładunek IDcr z ID_FQDN. Powoduje to dereferencję wskaźnika NULL, co skutkuje awarią i ponownym uruchomieniem demona pluto.
Ocena ryzyka
Awarie demona pluto mogą prowadzić do przerwy w działaniu usług VPN, co wpływa na dostępność i bezpieczeństwo komunikacji w organizacji.
Rekomendacja
Zaleca się aktualizację Libreswan do wersji 4.12 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Libreswan before 4.12. When an IKEv1 Quick Mode connection configured with ID_IPV4_ADDR or ID_IPV6_ADDR receives an IDcr payload with ID_FQDN, a NULL pointer dereference causes a crash and restart of the pluto daemon. NOTE: the earliest affected version is 4.6.