CVE-2023-41913

Buffer overflow w strongSwan umożliwiający zdalny RCE bez uwierzytelnienia

CVSS 9.8v3.1pub. 2023-12-07upd. 2025-12-18

Podatność w strongSwan (wersje 5.3.0 – 5.9.11) polega na przepełnieniu bufora (buffer overflow) w komponencie charon-tkm, które może prowadzić do zdalnego wykonania kodu bez konieczności uwierzytelniania. Wysoki wynik CVSS 9.8 odzwierciedla krytyczne zagrożenie dla wszystkich systemów korzystających z tego komponentu VPN.

▸ Pokaż oryginał (EN)

strongSwan before 5.9.12 has a buffer overflow and possible unauthenticated remote code execution via a DH public value that exceeds the internal buffer in charon-tkm's DH proxy. The earliest affected version is 5.3.0. An attack can occur via a crafted IKE_SA_INIT message.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowaną wiadomość IKE_SA_INIT zawierającą wartość DH (Diffie-Hellman) public value, której rozmiar przekracza pojemność wewnętrznego bufora w module proxy DH komponentu charon-tkm. Brak odpowiedniej weryfikacji rozmiaru danych wejściowych (CWE-120 — buffer overflow) powoduje przepełnienie bufora. Ponieważ atak odbywa się na etapie nawiązywania sesji IKE, przed jakimkolwiek uwierzytelnieniem, exploit jest możliwy dla anonimowego atakującego sieciowego.

Skutki

Skuteczne wykorzystanie podatności może pozwolić atakującemu na zdalne wykonanie dowolnego kodu (RCE) na podatnym systemie bez uwierzytelniania, potencjalnie skutkując pełnym przejęciem kontroli nad urządzeniem oraz naruszeniem poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować strongSwan do wersji 5.9.12 lub nowszej. Pakiety poprawek są dostępne również dla dystrybucji Fedora oraz Debian (w tym Debian LTS). Szczegóły dostępne w oficjalnym blogu strongSwan oraz w repozytoriach wydań na GitHub.

Kogo dotyczy

strongSwan w wersjach od 5.3.0 do 5.9.11 (włącznie), wyłącznie konfiguracje korzystające z komponentu charon-tkm (TKM — Trusted Key Manager) z włączonym proxy DH.

Uwagi

Podatność została opisana na oficjalnym blogu strongSwan w dniu 20 listopada 2023 r. Dotyczy wyłącznie konfiguracji z komponentem charon-tkm — standardowe instalacje strongSwan bez TKM nie są podatne.