شهدت حزمتا VPN تحديثات أمنية مهمة من ديبيان في 2026. ففي OpenVPN عالجت DSA-6376-1 (3 يوليو، ديبيان 13 trixie) وDLA-4666-1 (4 يوليو، ديبيان 12 bookworm) ست مشكلات تقول ديبيان إنها قد تؤدي إلى حجب الخدمة. وفي strongSwan عالجت DSA-6487-1 (7 سبتمبر، trixie) إحدى عشرة ثغرة، منها خلل استخدام ذاكرة بعد تحريرها يقول مشروع strongSwan إنه قد يسمح نظريًا بتنفيذ تعليمات برمجية عن بُعد.
لم تصل إصلاحات strongSwan لشهر سبتمبر إلى bookworm بعد، كما بقيت ثغرة أحدث في OpenVPN مفتوحة على الإصدارين. التفاصيل أدناه.
نظرة سريعة
| الحزمة | trixie | bookworm |
|---|---|---|
strongswan | 6.0.1-6+deb13u7 ضمن DSA-6487-1 | أحدث إصدار 5.9.8-5+deb12u5 ضمن DSA-6330-1 في يونيو، وهو مدرج كمتأثر بعشر من ثغرات سبتمبر الإحدى عشرة |
openvpn | 2.6.14-1+deb13u3 ضمن DSA-6376-1 | 2.6.14-0+deb12u2 ضمن DLA-4666-1 |
الخطورة: عالية (تصل درجة CVSS لدى جهة الترقيم إلى 7.5 في strongSwan و7.1 في OpenVPN). ولا توجد أي من الثغرات المذكورة هنا في فهرس CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).
ما هي هذه الثغرات؟
strongSwan (DSA-6487-1)
- CVE-2026-78133 (الدرجة 7.5): استخدام ذاكرة بعد تحريرها عند تصادم عمليات تجديد المفاتيح في IKEv2 مع تبادلات مفاتيح متعددة. ويقول مشروع strongSwan إن طرفًا مصادَقًا عليه قد يستغلها لتنفيذ تعليمات برمجية عن بُعد. وتخص الإصدار 6.0.0 وما بعده فقط، لذلك تعدّ ديبيان bookworm (الإصدار 5.9.8) غير متأثر.
- CVE-2026-78135 (5.6): لم تكن طلبات CREATE_CHILD_SA تُرفض على اتصالات IKE غير المكتملة، ما قد يسمح لطرف غير مصادَق عليه بإنشاء Child SA صالح للاستخدام قبل اكتمال المصادقة. وتخص الإصدار 5.9.7 وما بعده، أي bookworm أيضًا.
- CVE-2026-78134 (7.1): في إضافتي eap-peap وeap-ttls قد يُربط عميل لديه بيانات دخول صحيحة بهوية مستخدم آخر، فيستولي مثلًا على عنوانه الافتراضي. ويقول strongSwan إن الخوادم التي لا تقبل EAP أو لا تستخدم هاتين الطريقتين غير متأثرة.
- CVE-2026-78130 وCVE-2026-78132 (7.5): توقف وحلقة لا نهائية في محلّل شهادات السمات X.509. وتغطي بقية الإصلاحات أعطالًا وتسربات وحلقات في معالجة PKCS#7 وفي eap-aka وفي تسجيل رسائل IKE.
OpenVPN (DSA-6376-1 وDLA-4666-1)
- CVE-2026-12932 (CVSS 4.0: 7.1) وCVE-2026-13698 (6.0): تسرّب في الذاكرة عند معالجة مفاتيح tls-crypt-v2 يمكن أن يتحول مع سيل من الحزم إلى استنزاف للذاكرة.
- CVE-2026-12996 وCVE-2026-13117 (6.0): استخدام ذاكرة بعد تحريرها أثناء ترقية جلسة TLS، قد يستغله طرف مصادَق عليه لإيقاف الخادم أو تسريب بيانات من الذاكرة.
- CVE-2026-13122 (5.9): الخادم الذي يستخدم
auth-gen-tokenمعexternal-authيمكن إيقافه برمز مشوّه. - CVE-2026-11771 (7.0): كتابة زائدة ببايت واحد في مصادقة NTLM عبر الوكيل، يمكن الوصول إليها من خادم وكيل خبيث (مشكلة في جهة العميل).
ما زال مفتوحًا: نشر مشروع OpenVPN لاحقًا الثغرة CVE-2026-84471 (CVSS 4.0: 7.2)، وهي تحرير مزدوج للذاكرة يستكمل إصلاح CVE-2026-12996 ويشمل الإصدارات من 2.6.0 إلى 2.6.22. ويعرض متتبّع ديبيان كلًا من bookworm وtrixie كمتأثرين دون تحديث حتى الآن.
هل أنت متأثر؟
dpkg-query -W -f='${Package} ${Version}\n' 'strongswan*' 'charon*' 'libstrongswan*' 'libcharon*' openvpn
apt policy strongswan-libcharon openvpn
sudo grep -rnE 'eap-(ttls|peap|dynamic)' /etc/swanctl /etc/ipsec.conf /etc/strongswan.d 2>/dev/null
sudo grep -rnE 'tls-crypt-v2|auth-gen-token|http-proxy' /etc/openvpn/طريقة التحديث
sudo apt update
sudo apt install --only-upgrade strongswan strongswan-charon strongswan-libcharon strongswan-starter strongswan-swanctl charon-systemd libstrongswan libstrongswan-standard-plugins libstrongswan-extra-plugins libcharon-extra-plugins libcharon-extauth-plugins openvpnأما strongSwan على bookworm فلا يوجد له جديد حتى الآن، فتابع صفحة strongswan في المتتبّع. وفي الأثناء، إن لم تكن بحاجة إلى EAP-TTLS أو EAP-PEAP فلا تحمّل هاتين الإضافتين (في ديبيان تأتي eap-ttls من الحزمة libcharon-extra-plugins)، واجعل منافذ IKE متاحة فقط للأطراف التي تحتاجها. وبالنسبة لثغرة OpenVPN المفتوحة، فإن تقييد من يصل إلى منفذ الخادم واستخدام tls-crypt أو tls-crypt-v2 يقصر التعرض على من يملكون مفتاحًا صالحًا.
هل يلزم إعادة التشغيل؟
لا حاجة إلى إعادة تشغيل الخادم، لكن إعادة تشغيل خدمة VPN تقطع الأنفاق النشطة لوقت قصير، فاختر وقتًا هادئًا:
systemctl list-units 'strongswan*' 'ipsec*' 'openvpn*'
sudo systemctl restart strongswan # charon-systemd / swanctl setups
sudo systemctl restart strongswan-starter # ipsec.conf setups
sudo systemctl restart openvpn-server@server # use your instance nameالمصادر
- security-tracker.debian.org/tracker/DSA-6487-1
- debian.org/security/2026/dsa-6487
- lists.debian.org/debian-security-announce/2026/msg00287.html
- lists.debian.org/debian-security-announce/2026/msg00398.html
- security-tracker.debian.org/tracker/DSA-6376-1
- debian.org/security/2026/dsa-6376
- security-tracker.debian.org/tracker/DLA-4666-1
- lists.debian.org/debian-lts-announce/2026/07/msg00007.html
- security-tracker.debian.org/tracker/DSA-6330-1
- security-tracker.debian.org/tracker/source-package/strongswan
- security-tracker.debian.org/tracker/CVE-2026-78133
- security-tracker.debian.org/tracker/source-package/openvpn
- strongswan.org/blog/2026/09/07/strongswan-vulnerability-(cve-2026-78133).html
- strongswan.org/blog/2026/09/07/strongswan-vulnerability-(cve-2026-78135).html
- strongswan.org/blog/2026/09/07/strongswan-vulnerability-(cve-2026-78134).html
- community.openvpn.net/Security%20Announcements
- community.openvpn.net/Security%20Announcements/CVE-2026-12996
- community.openvpn.net/Security%20Announcements/CVE-2026-84471
- cve.org/CVERecord?id=CVE-2026-78133
- cve.org/CVERecord?id=CVE-2026-12932
- cisa.gov/known-exploited-vulnerabilities-catalog
- packages.debian.org/source/trixie/strongswan
- packages.debian.org/trixie/amd64/libcharon-extra-plugins/filelist
Comments
0 total · 0 threads