FreeBSD IPsec会话AES-XCBC-MAC认证常量密钥漏洞

发布日期：2005-07-28
更新日期：2005-07-28

受影响系统：

FreeBSD FreeBSD 5.4
FreeBSD FreeBSD 5.3

描述：

---

BUGTRAQ ID: 14394
CVE(CAN) ID: CVE-2005-2359

FreeBSD就是一种运行在Intel平台上、可以自由使用的Unix系统；IPsec是FreeBSD所使用的一种Internet协议网络层安全协议。

FreeBSD用于认证的AES-XCBC-MAC算法实现中存在编程错误，可能导致使用常量密钥而不是系统管理员所指定的密钥。

如果缺少加密而使用AES-XCBC-MAC算法进行认证的话，攻击者就可以创建看起来源自不同系统的报文，因此就可以成功创建IPsec会话。如果攻击者根据源系统的身份控制了对敏感信息或系统的访问，就可能导致信息泄漏或权限提升。

<*来源：Yukiyo Akisada

链接：ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-05:19.ipsec.asc
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 不要使用AES-XCBC-MAC算法进行认证，或同其他形式的IPsec加密使用。

厂商补丁：

FreeBSD
-------
FreeBSD已经为此发布了一个安全公告（FreeBSD-SA-05:19）以及相应补丁:
FreeBSD-SA-05:19：Incorrect key usage in AES-XCBC-MAC
链接：ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-05:19.ipsec.asc

补丁下载：

# fetch ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/patches/SA-05:19/ipsec.patch
# fetch ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/patches/SA-05:19/ipsec.patch.asc

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!