URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 129901
[ Назад ]
Исходное сообщение
"Уязвимость в strongSwan IPsec, допускающая удалённое выполнение кода"
Отправлено opennews , 03-Мрт-23 10:40 
Доступен выпуск strongSwan 5.9.10, свободного пакета для создания VPN-соединений на базе протокола IPSec, используемого в Linux, Android, FreeBSD и macOS. В новой версии устранена опасная уязвимость (CVE-2023-26463), которая может быть использована для обхода аутентификации, но потенциально также может привести к выполнению кода атакующего на стороне сервера или клиента. Проблема проявляется при проверке специально оформленных сертификатов в методах аутентификации EAP (Extensible Authentication Protocol) на базе TLS...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=58736

Содержание
Сообщения в этом обсуждении
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено InuYasha , 03-Мрт-23 10:40 
А вот это уже - довольно серьёзно. Пойду смотреть патчи на OpenWRT.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:55 
Вот только где их смотреть? В оф. репе не заметно.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 03-Мрт-23 16:11 
Я бы на твоем месте пошел и просто снес с него шитшвайн. или как там оно называетсо.

(Вот твой недороутер под кроватью - вполне себе место для какого-нибудь воспетого местными  фанатиками wireguard. Поскольку рептилоиды за тобой не наблюдают, товарищмайор тоже вряд ли детектит без явного целеуказания, и  хостов у тебя явно не миллионы а один твой несчастный мобильник. И мест куда может засосать серьезную уязвимость у него гораздо меньше. А ipsec оставь инженерам или корпоративным админам. Они знают, зачем.)

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 18:35 
Это точно, крайне смешат пузи-админы с ипсеками на говнокоробках. Патчи он пойдёт посмотрит, ути какой.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 04-Мрт-23 23:21 
(на всяк случай - это не тебе, это ответ на удаленное взбесившимися цензорами)
как раз разница ваергада и опенчегонельзяназывать в том что первый на недороутере работает так же или даже более эффективно чем ipsec - меньше контекст-свитчей, проще алгоритмы, в целом оптимизирован лучше в ущерб универсальности, а второй может безбожно тормозить или вообще терять пакеты.

А ентерпрайз фичи топикстартеру явно без надобности, вряд ли у него в ike что-то кроме примитивного psk.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 10:42 
ну вот, а говорили , что PSK несекурно :-D
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Анони , 03-Мрт-23 10:45 
Вот те раз... Strongswan не такой уж и strong оказывается...
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено ryoken , 03-Мрт-23 11:03 
"Shit happens" :D
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 18:33 
ShitSwan
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 21:58 
Swongswan )
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 11:08 
Никогда такого не было и опять выполнение произвольного кода.
Почему вместо веб-ма...ак они не наймут настоящих экспертов по Си с опеннет?
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 11:14 
по расту же, сначала на расте безопасно чтоб написали, а потом на c переписали чтоб быстро.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:26 
Надо нанимать сразу на Карбоне. Того и глядишь к выходу языка кого-нибудь найдут.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 18:38 
В расте ZCA, к чему ты тут быстро приплел?
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Самый Лучший Гусь , 03-Мрт-23 11:17 
С in IpSec stands for Секурити
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 11:42 
C in CVE stands for C language
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:19 
Главное продолжать верить, что УБ не существует и святой компилятор раста от всего спасет
https://github.com/rust-lang/rust/issues/108453
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:26 
Мне кажется ты не понимаешь того что вера не основывается на фактах.  
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:30 
Очень сомнительное утверждение.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Michael Shigorin , 06-Мрт-23 22:31 
Вы сами-то в это верите?
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:39 
И где здесь уб? Логический баг, скоро поправят. От них компилятор не защищает и растаманам это известно, в отличии от набрасывателей.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:44 
>И где здесь уб?
>undefined behavior after calling VecDeque::shrink_to
>Логический баг, скоро поправят.

Ну так и на Си - это логический баг, просто программист не ту функцию вызвал, перепутал знаки или что-то забыл. Да и исправляют всегда.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Анонимусс , 03-Мрт-23 12:47 
Так и с Си не проблема что знак перепутал или переменная переполнилась.
А то что потом записал за пределы массива, RCE, получение рута, кровь, кишки, ...
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:53 
Такое и на расте можно. Через специально оформленные пакеты в cargo можно было системные файлы изменять.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено bOOster , 03-Мрт-23 14:09 
Когда это ржавое добро в повсеместную эксплуатацию пойдет - мы такие залипухи увидим.....
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 15:38 
Так оно и не пойдет никуда залипухи мы уже отлично видим.  
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 22:52 
> Такое и на расте можно. Через специально оформленные пакеты в cargo

Эк ты поделил на 0.
Ну давай тогда все дыры в сборочных скриптах и инсталлерах сишных проектов к сишко-CVE приплюсуй
https://www.opennet.me/opennews/art.shtml?num=42354

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 16:04 
Видимо такой же плюсовик зарепортил и назвал неправильно. Поведение было defined, но невалидное. Попробуйте ещё раз осознать разницу.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Анонн , 03-Мрт-23 12:48 
Уже поправили. 4 days ago
https://github.com/rust-lang/rust/pull/108475
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Tron is Whistling , 03-Мрт-23 12:54 
assert_eq!(deque.into_iter().collect::<Vec<_>>(), vec![9, 10, 1, 2, 3]);

Мои глазья вытекают от этого счастья любителей символов.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 16:10 
Довольно быстро к ним привыкаешь. Можно было бы расписать в 3 строки, но сэкономили на компактной форме collect, для которого надо подсказывать тип контейнера(тут вектор чего угодно. Символ '_' много где в языке обозначает сматчить со всем). А восклицательный знак просто маркер макроса
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 16:15 
Хз, все читаемо. Двустороннюю очередь собирают в целочисленный вектор и сравнивают ассертом с другим целочисленным вектором. Затыки с непривычки могут быть при чтении lifetime-ов, но привыкаешь быстро. Какая-нибудь Scala читается гораздо хуже.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено penetrator , 03-Мрт-23 20:07 
конечно всё читаемо, вопрос только за сколько времени и в какой трезвозсти надо быть, и одна такая строчка или весь код
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Sw00p aka Jerom , 03-Мрт-23 21:12 
>Хз, все читаемо.

асм ваще прелесть :)

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено freecoder , 03-Мрт-23 16:28 
Можно было проще написать:

assert_eq!(Vec::from(deque), vec![9, 10, 1, 2, 3]);

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 16:50 
растовики слишком любят турборыбу
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 18:56 
Какая разница, как буковки выглядят? Ты что, гуманитарий?
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Tron is Whistling , 05-Мрт-23 11:05 
Если тебе на один раз написать - разницы никакой.
А если это после тебя ещё кому-то читать и поддерживать...
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Michael Shigorin , 06-Мрт-23 22:34 
Если что-то выглядит через задницу, оно и работает обычно так же.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 22:45 
> Главное продолжать верить, что УБ не существует и святой компилятор раста от всего спасет
> https://github.com/rust-lang/rust/issues/108453

Главное, продолжай верить что ты действительно нашел "УБ" и приводить эту ссылку и далее.


"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено не придумал , 03-Мрт-23 12:37 
Другое дело существующий проект rsrongestSwing, который все мешают пилить вообще не имеет уязвимостей
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:40 
Давно хотел спросить, а зачем относительно недавно авторы начали публиковать в новостях откровенную ложь про "публикацию обновлений можно отследить по ссылкам..." и дают ссылки на несуществующие страницы? Зачем это нужно? Качество новостей совсем скатилось в днище.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 15:15 
Конкретнее, какие именно ссылки не работают ?
У меня Arch не открылся
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 16:01 
Если страницы нет, значит обновление ещё не выпущено. Для этого и ставят ссылки, чтобы понять когда появится обновление.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 12:45 
> buster (security)        vulnerable
> bullseye (security), bullseye    vulnerable

Debian, security, vulnerable
Haha, classic!

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноньимъ , 03-Мрт-23 13:35 
Зато стабильно!
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 22:17 
bullseye (security), bullseye    5.9.1-1+deb11u3    fixed
проверено 3.03.2023 22:16
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 13:49 
Только в openbsd ipsec настраивается легко и просто. В остальных OS-ях это какая-то наркомания.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено HyC , 03-Мрт-23 14:17 
Лично у меня никаких трудностей когда мне подгорело сделать VPN во время карантина со StrongSwan не возникало, и кроме манов я ничего не курил.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 03-Мрт-23 16:07 
С чем ты, болезный, в винде не справился?

А вот подключить ее к тому что ты там легко и просто наг-някал в своей флопнибсд - ты не сможешь. Ну так и незачем.

К циске вот нормально подключается.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 16:42 
>А вот подключить ее к тому что ты там легко и просто наг-някал в своей флопнибсд - ты не сможешь. Ну так и незачем.

И незачем, не юзаю и винду, ни любую из *bsd. Просто к слову пришлось про простоту настройки ipsec в openbsd, относительно всего другого.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 03-Мрт-23 17:16 
а, ну логичненько, чё - если им не пользоваться то настраивать очень просто.

(Если что - про винду это я не прикалывался. Там действительно просто - если на psk. Реально в пяток очевидных кликов, в два десятка - если чтоб один раз и на всю сеть. С сертификатами да, неприятно, статику не умеет, но в целом-то ей - и не надо.)

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 03-Мрт-23 18:55 
IPsec вообще везде настраивается легко и просто, где он есть. От цисок и жуниперов до линуксов и виндов. Сложности с ним совершенно в другом месте, и к операционным системам они никак не относятся.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 03-Мрт-23 22:59 
ага, вообще как два пальца. Давай ты мне решишь задачку из телефонного (без консоли) собеседования на цискоинженера - две коробки, ипсек традиционным криптомапом на интерфейсе, тунель, ничего необычного, возникает матчащийся мапом пакет, ике проходит, дальше внезапно падает. И так по кругу. Что надо проверять первым делом?

ccnp security валились на этом вопросе только пух летел. Ребята без сертификатов но с опытом реальной работы отвечают не задумываясь.

Ну ах...еть очевидно ведь. (нет)

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Еще один Аноним , 03-Мрт-23 23:53 
Когда не знаешь что проверять, читай логи и познаешь дзен.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 04-Мрт-23 09:51 
Я тебе детально описал что при этом видно в логе. Ничего там не видно. Согласование прошло, должен вот уже подняться тунель, вместо этого хлоп и сессия рвется так и не установившись, тунель переходит в DOWN и все сначала по кругу. Обычно недоучки первым делом перевбивают psk (его несовпадение выглядит похоже но не точно так же) но он правильный. (у isr есть еще и с этим прикол, но это я не спрашивал - необязательно знать прикол конкретной коробки конкретной серии, а вот понимать что может быть и чего не должно - требуется)

Очень, очень характерная прям ситуация, кто на самом деле много раз настраивал а не в книжке прочитал - мгновенно дает правильный ответ. Но они уже наверное давно пиццей торгуют, поскольку были умные. А глупые остались тут - искренне веруя что включение всех логов их спасет. Ну и предлагают смотреть сразу все - то есть не знают что на самом деле может быть причиной. Успехов им "все" в энтерпрайзном конфиге с полсотней пиров и сложной конфигурацией и еще и ремота не твоя а компании партнера и ее конфиги и логи тебе пересказывает по телефону такой же самоуверенный бездарь "я всеправильнонастроел софтработаит, проблема на вашей стороне".

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено ivan_erohin , 04-Мрт-23 19:30 
мое решение этой проблемы:
1) IPsec пинком на йух.
2) внедряем OpenVPN. его все знают.

> кто на самом деле много раз настраивал а не в книжке прочитал - мгновенно дает правильный ответ

ходить по одним и тем же граблям больше двух раз - себя не уважать.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 04-Мрт-23 23:14 
за такое "решение" в месте где давно используют ipsec - найух отправляют очередного недоучку (обычно еще на этапе собеседования). И уж тем более - в месте где его по делу использут (пара сотен клиентов работающих с vdi на одну коробочку например, или кросс-ДЦ линк на пару хотя бы гигабит).

> внедряем OpenVPN. его все знают.

нихера вы не знаете.
Например с год назад тут вспоминали прекрасную его фичу, наличествующую наверное в 99.9% всех внедренных где надо и где не надо - любой пользователь может изобразить mitm и никто ничего не заметит.

Дай угадаю - ты не в курсе.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено ivan_erohin , 05-Мрт-23 07:00 
> за такое "решение" в месте где давно используют ipsec -

если они давно используют, то сами прошлись по всем граблям и сами все порешают.
в т.ч. проблемы с точным временем.

> - в месте где его по делу использут (пара сотен клиентов
> работающих с vdi на одну коробочку например, или кросс-ДЦ линк на
> пару хотя бы гигабит).

чего мелочиться - пишите "терабит", пусть ламо испугается.
"энерпрайз" и "индустри" здесь уже никто не боится (я надеюсь).

>> внедряем OpenVPN. его все знают.
> нихера вы не знаете.

А ТО ! "Джон Сноу" мое второе имя.

> вспоминали прекрасную его фичу, наличествующую наверное в
> 99.9% всех внедренных где надо и где не надо - любой
> пользователь может изобразить mitm и никто ничего не заметит.

1) с обновлением версий фича уйдет. кто не обновляет тот ССЗБ.
2) заложенное в IPsec американским КГБ останется навсегда.
2.1) прошивки на цисках так просто не обновляются.
3) кстати ! откуда у вас циски с криптоускорителями, ась ? не нарушили ли вы и/или ваш поставщик случайно парочку постанов ФСТЭК от 666 года эпохи еще Эльцына и раннего Утина ? их никто не отменял. давайте поднимем ваши ТД и проверим - что там написано и что реально ввезено.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Michael Shigorin , 06-Мрт-23 22:38 
Лучше попробуйте выспросить -- хотя бы ради клиентов.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 06-Мрт-23 23:01 
Клиент, нанимающий полуграмотного самоуверенного не по уму исполнителя - сам виноват и его совершенно не жалко.

Тут наш народ так прекрасно гармонирует с природой, что в этом ничего не надо менять.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено ivan_erohin , 07-Мрт-23 04:09 
> Клиент, нанимающий полуграмотного самоуверенного не по уму исполнителя

когда вы последний раз обновляли IOS на цисках под своим управлением ?

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено ivan_erohin , 07-Мрт-23 04:34 
это типичная азиатская "загадка", на которую надо заранее знать ответ.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено ivan_erohin , 04-Мрт-23 19:57 
проблема - точное время, вероятность 70%.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 04-Мрт-23 02:55 
> Что надо проверять первым делом?

Первым делом надо проверить не звиздит ли пох. А потом уже включать дебажный лог и в конфиги смотреть на обеих сторонах — фаервол, psk, сайфер, pfs, рекей, и так далее.

"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено пох. , 04-Мрт-23 09:38 
ну вот, два горе-эксперта опеннета показательно расписались в том что не умеют и ни разу не настраивали ничего кроме может копипасты с форумцискоком, но скорее всего и она у них не работала.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено timur.davletshin , 20-Авг-23 13:16 
libreswan на Linux тоже просто настраивается и даже работает. Но про него даже на OpenNet новостей не постят... StrongSwan - смертоубийство, особенно в старых версиях.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 04-Мрт-23 07:00 
Язык программирования Си. Ясно понятно.
"Уязвимость в strongSwan IPsec, допускающая удалённое выполне..."
Отправлено Аноним , 04-Мрт-23 15:41 
Выкинь весь софт на C и C++ (оно ж тоже дырявое), и живи, если сможешь.