strongSwan 5.9.10 ಈಗ ಲಭ್ಯವಿದೆ, Linux, Android, FreeBSD ಮತ್ತು macOS ನಲ್ಲಿ ಬಳಸಲಾದ IPSec ಪ್ರೋಟೋಕಾಲ್ ಅನ್ನು ಆಧರಿಸಿ VPN ಸಂಪರ್ಕಗಳನ್ನು ರಚಿಸಲು ಉಚಿತ ಪ್ಯಾಕೇಜ್. ಹೊಸ ಆವೃತ್ತಿಯು ದೃಢೀಕರಣವನ್ನು ಬೈಪಾಸ್ ಮಾಡಲು ಬಳಸಬಹುದಾದ ಅಪಾಯಕಾರಿ ದುರ್ಬಲತೆಯನ್ನು (CVE-2023-26463) ನಿವಾರಿಸುತ್ತದೆ, ಆದರೆ ಸರ್ವರ್ ಅಥವಾ ಕ್ಲೈಂಟ್ ಬದಿಯಲ್ಲಿ ಆಕ್ರಮಣಕಾರರ ಕೋಡ್‌ನ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆಗೆ ಸಂಭಾವ್ಯವಾಗಿ ಕಾರಣವಾಗಬಹುದು. TLS-ಆಧಾರಿತ EAP (ವಿಸ್ತರಿತ ದೃಢೀಕರಣ ಪ್ರೋಟೋಕಾಲ್) ದೃಢೀಕರಣ ವಿಧಾನಗಳಲ್ಲಿ ವಿಶೇಷವಾಗಿ ವಿನ್ಯಾಸಗೊಳಿಸಿದ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಮೌಲ್ಯೀಕರಿಸುವಾಗ ಸಮಸ್ಯೆ ಉಂಟಾಗುತ್ತದೆ.
ಪ್ರಮಾಣಪತ್ರವನ್ನು ಯಶಸ್ವಿಯಾಗಿ ಪರಿಶೀಲಿಸಲು ಸಾಧ್ಯವಾಗದಿದ್ದರೂ ಸಹ ಅವುಗಳನ್ನು ನಂಬಲರ್ಹವೆಂದು ಪರಿಗಣಿಸಿ, ಪೀರ್‌ನ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಸಾರ್ವಜನಿಕ ಕೀಗಳನ್ನು ತಪ್ಪಾಗಿ ಸ್ವೀಕರಿಸುವ TLS ಹ್ಯಾಂಡ್ಲರ್‌ನಿಂದ ದುರ್ಬಲತೆ ಉಂಟಾಗುತ್ತದೆ. ನಿರ್ದಿಷ್ಟವಾಗಿ, tls_find_public_key() ಕಾರ್ಯಕ್ಕೆ ಕರೆ ಮಾಡುವಾಗ, ಯಾವ ಪ್ರಮಾಣಪತ್ರಗಳು ವಿಶ್ವಾಸಾರ್ಹವೆಂದು ನಿರ್ಧರಿಸಲು ಸಾರ್ವಜನಿಕ ಕೀ ಪ್ರಕಾರವನ್ನು ಆಧರಿಸಿದ ಆಯ್ಕೆಯನ್ನು ಬಳಸಲಾಗುತ್ತದೆ. ಸಮಸ್ಯೆ ಏನೆಂದರೆ, ಪ್ರಮಾಣಪತ್ರವು ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲದಿದ್ದರೂ ಸಹ, ಲುಕಪ್ ಕಾರ್ಯಾಚರಣೆಗಾಗಿ ಕೀ ಪ್ರಕಾರವನ್ನು ನಿರ್ಧರಿಸಲು ಬಳಸಲಾಗುವ ವೇರಿಯೇಬಲ್ ಅನ್ನು ಹೇಗಾದರೂ ಹೊಂದಿಸಲಾಗಿದೆ.
ಇದಲ್ಲದೆ, ಕೀಲಿಯನ್ನು ಕುಶಲತೆಯಿಂದ ನಿರ್ವಹಿಸುವ ಮೂಲಕ, ನೀವು ಉಲ್ಲೇಖ ಕೌಂಟರ್ ಅನ್ನು ಕಡಿಮೆ ಮಾಡಬಹುದು (ಪ್ರಮಾಣಪತ್ರವು ವಿಶ್ವಾಸಾರ್ಹವಾಗಿಲ್ಲದಿದ್ದರೆ, ಕೀಲಿಯ ಪ್ರಕಾರವನ್ನು ನಿರ್ಧರಿಸಿದ ನಂತರ ವಸ್ತುವಿನ ಉಲ್ಲೇಖವನ್ನು ಬಿಡುಗಡೆ ಮಾಡಲಾಗುತ್ತದೆ) ಮತ್ತು ಕೀಲಿಯೊಂದಿಗೆ ಇನ್ನೂ ಬಳಕೆಯಲ್ಲಿರುವ ವಸ್ತುವಿಗಾಗಿ ಮೆಮೊರಿಯನ್ನು ಮುಕ್ತಗೊಳಿಸಬಹುದು. ಈ ನ್ಯೂನತೆಯು ಮೆಮೊರಿಯಿಂದ ಮಾಹಿತಿಯನ್ನು ಸೋರಿಕೆ ಮಾಡಲು ಮತ್ತು ಕಸ್ಟಮ್ ಕೋಡ್ ಅನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಲು ಶೋಷಣೆಗಳ ರಚನೆಯನ್ನು ಹೊರತುಪಡಿಸುವುದಿಲ್ಲ.
EAP-TLS, EAP-TTLS, EAP-PEAP ಮತ್ತು EAP-TNC ವಿಧಾನಗಳನ್ನು ಬಳಸಿಕೊಂಡು ಕ್ಲೈಂಟ್ ಅನ್ನು ದೃಢೀಕರಿಸಲು ಕ್ಲೈಂಟ್ ಸ್ವಯಂ-ಸಹಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಕಳುಹಿಸುವ ಮೂಲಕ ಸರ್ವರ್‌ನ ಮೇಲಿನ ದಾಳಿಯನ್ನು ನಡೆಸಲಾಗುತ್ತದೆ. ವಿಶೇಷವಾಗಿ ವಿನ್ಯಾಸಗೊಳಿಸಿದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹಿಂದಿರುಗಿಸುವ ಸರ್ವರ್ ಮೂಲಕ ಕ್ಲೈಂಟ್ ಮೇಲೆ ದಾಳಿಯನ್ನು ನಡೆಸಬಹುದು. 5.9.8 ಮತ್ತು 5.9.9 ಸ್ಟ್ರಾಂಗ್‌ಸ್ವಾನ್ ಬಿಡುಗಡೆಗಳಲ್ಲಿ ದುರ್ಬಲತೆ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ. ವಿತರಣೆಗಳಲ್ಲಿನ ಪ್ಯಾಕೇಜ್ ನವೀಕರಣಗಳ ಪ್ರಕಟಣೆಯನ್ನು ಪುಟಗಳಲ್ಲಿ ಟ್ರ್ಯಾಕ್ ಮಾಡಬಹುದು: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD.
ಮೂಲ: opennet.ru