Les VPN IPSec vulnérables ? Une vulnérabilité a été découverte dans le composant implémentant la fonctionnalité ‘VPN IPSec’ du produit Arkoon Firewall. Son exploitation peut aboutir au blocage des communications IPSec à destination d’une appliance Arkoon. Tous les Arkoons en versions 3.0, 3.1 ou 3.2 utilisant la fonctionnalité VPN IPSec sont vulnérables. Les configurations utilisant une carte d’accélération matérielle IPSec ne sont pas vulnérables. Note : la confidentialité des données échangées reste assurée. Se référer à la section ‘Comment détecter les configurations impactées ?’ de ce bulletin pour déterminer si vous êtes impactés.   Description La vulnérabilité se situe dans le code de vérification des paramètres d’authentification reçus par l’appliance lors d’une communication IPSec. Dans certains cas d’utilisation, un manque de contrôle de ces paramètres peut permettre à un paquet corrompu d’être traité alors qu’il devrait être rejeté immédiatement. Impact Cette vulnérabilité peut permettre à une personne malintentionnée : - de provoquer un déni de service sur un tunnel VPN déjà établi ; - de rejouer des données ESP chiffrées dans un tunnel déjà établi. Ce problème peut entraîner des dysfonctionnements d’un tunnel VPN établi de manière spontanée, sans intention malicieuse, dans un environnement à fort taux de corruption des paquets. Dans tous les cas, la confidentialité des données échangées dans la session IPSec n’est jamais remise en question. Gravité La gravité de cette vulnérabilité a été classée haute pour les raisons suivantes : - exploitation possible depuis Internet ; - déni de service sur un tunnel VPN établi ; - rejeu possible de données chiffrées ; - problème pouvant se produire de manière spontanée dans certains environnements. Note : le rejeu de données chiffrées, bien que théoriquement possible, requiert des conditions très favorables et une connaissance de la nature des échanges chiffrés de la session IPSec. Comment détecter les configurations impactées ? Versions impactées : - 3.0 <= 3.0/27 - toutes versions 3.1 (série non supportée) - 3.2 <= 3.2/3 Configurations impactées : - VPN IPSec activé sans carte d’accélération matérielle IPSec - VPN IPSec activé avec carte d’accélération matérielle IPSec désactivée Configurations non impactées : - VPN IPSec non activé - VPN IPSec activé avec carte d’accélération matérielle IPSec présente et activée Solution Les versions 3.0/28 et 3.2/4 comportent un correctif pour ce problème. Si votre configuration est impactée, nous vous recommandons de mettre à jour votre système dès que possible. Note : la série Arkoon Firewall 3.1 n’est plus supportée. Si votre système utilise une version 3.1/1, 3.1/2 ou 3.1/3, nous vous recommandons de passer en version 3.2/4 dès que possible. Si vous rencontrez des problèmes, n'hésitez pas à contacter le support Arkoon à l'adresse source suivante : http://client.arkoon.net Cellule Sécurité Arkoon security@arkoon.net