Security · strongSwan
strongSwan schließt Lücken mit bedingter Codeausführung und fehlerhafter Zugriffskontrolle
kritisch
Mehrere Fehler in der IPsec-Suite ermöglichen Abstürze, Autorisierungsumgehungen und unter engen Voraussetzungen Codeausführung.
- CVE
- CVE-2026-78123, CVE-2026-78124, CVE-2026-78126, CVE-2026-78127, CVE-2026-78129 bis CVE-2026-78135
- Betroffen
- Je nach CVE strongSwan ab 4.1.2; CVE-2026-78133 betrifft 6.0.0 und neuer, CVE-2026-78135 betrifft 5.9.7 und neuer.
- Behoben
- strongSwan 6.1.0; Debian 13/Trixie: 6.0.1-6+deb13u7
strongSwan ist eine Software-Suite für verschlüsselte IPsec-VPN-Verbindungen. Version 6.1.0 behebt elf Sicherheitslücken. Besonders relevant sind eine mögliche entfernte Codeausführung, auf Englisch Remote Code Execution (RCE), bei kollidierenden Schlüsselerneuerungen in IKEv2, dem Protokoll zur Schlüsselaushandlung für IPsec-VPNs. Weitere Fehler können Datenkanäle vor vollständig abgeschlossener Authentisierung oder ohne korrekte Autorisierung nutzbar machen.
Beim Szenario mit möglicher Codeausführung muss ein bereits authentifizierter VPN-Gegenpunkt gezielt gleichzeitige Schlüsselerneuerungen auslösen; CVE-2026-78133 betrifft strongSwan 6.0.0 und neuer mit Multi-Key-Exchange, einer IKEv2-Erweiterung, die mehrere Schlüsselaustausche kombiniert. CVE-2026-78135 betrifft Versionen ab 5.9.7 und kann schon während des Verbindungsaufbaus eine Child-SA – einen bereits nutzbaren, verschlüsselten Datenkanal innerhalb der VPN-Verbindung – zu früh freigeben. Die übrigen CVEs haben eigene Versionsgrenzen. Eine bestätigte aktive Ausnutzung ist mit Quellenstand 8. September 2026 nicht bekannt.
Betreiber sollten auf strongSwan 6.1.0 aktualisieren; für Debian 13/Trixie nennt DSA-6487-1 das korrigierte Paket 6.0.1-6+deb13u7. Wer nicht sofort aktualisieren kann, kann Multi-Key-Exchange als Teilmaßnahme gegen CVE-2026-78133 deaktivieren; die übrigen Fehler erledigen sich dadurch allerdings nicht.
Quellen: strongSwan 6.1.0, CVE-2026-78133, Debian DSA-6487-1.