strongSwan 5.9.10 naha heye, pakêtek belaş ji bo afirandina girêdanên VPN li ser bingeha protokola IPSec-ê ku di Linux, Android, FreeBSD û macOS de tê bikar anîn. Guhertoya nû qelsiyek xeternak (CVE-2023-26463) ji holê radike ku dikare were bikar anîn da ku erêkirinê derbas bike, lê dibe ku di heman demê de bibe sedema pêkanîna koda êrîşkar li ser server an jî xerîdar. Pirsgirêk dema pejirandina sertîfîkayên taybetî yên sêwirandî yên di rêbazên erêkirina EAP-ya-based (Protokola Rastkirina Berfireh) de çêdibe.
Xirabbûn ji ber ku hilgirê TLS bi xeletî mifteyên giştî ji sertîfîkaya peer qebûl dike, wan pêbawer dihesibîne her çend sertîfîka bi serfirazî neyê verast kirin jî. Bi taybetî, dema gazîkirina fonksiyona tls_find_public_key() tê, hilbijartinek li gorî celebê mifteya giştî tê bikar anîn da ku diyar bike ka kîjan sertîfîka pêbawer in. Pirsgirêk ev e ku guhêrbara ku ji bo destnîşankirina celebê mifteyê ji bo operasyona lêgerînê tê bikar anîn, her çendî ku sertîfîka ne pêbawer be jî tête danîn.
Digel vê yekê, bi manîpulekirina mifteyê, hûn dikarin jimareya referansê kêm bikin (heke sertîfîka ne pêbawer be, piştî ku celebê mifteyê were destnîşankirin, referansa li ser objeyê tê berdan) û bi mifteyê re ji bo tişta ku hêj tê bikar anîn bîra azad bikin. Ev xeletî ji çêkirina îstîsmaran dernakeve da ku agahdariya ji bîrê derxe û koda xwerû bicîh bîne.
Êrîşa li ser serverê bi navgîniya xerîdar ku sertîfîkayek xwe-îmzekirî dişîne da ku xerîdar bi rêbazên EAP-TLS, EAP-TTLS, EAP-PEAP û EAP-TNC verast bike. Êrîşek li ser xerîdar dikare bi navgîniya serverê ve were kirin ku sertîfîkayek taybetî hatî sêwirandin vedigere. Zehfbûn di weşanên 5.9.8 û 5.9.9 yên strongSwan de xuya dike. Weşandina nûvekirina pakêtê di belavkirinan de dikare li ser rûpelan were şopandin: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD.
Source: opennet.ru