CVE-2026-77207
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W Libreswan występuje błąd dereferencji wskaźnika zerowego w kodzie obsługi PKCS#7 przy uwierzytelnianiu certyfikatu IKE. Kiedy libreswan dekoduje ładunek IKE CERT typu CERT_PKCS7_WRAPPED_X509, chroni obiekt BLOB PKCS#7 za pomocą SEC_PKCS7ContainsCertsOrCrls(), a następnie iteruje listę certyfikatów za pomocą SEC_PKCS7GetCertificateList(). Obydwa interfejsy API NSS nie zgadzają się co do SignedData, która zawiera listę CRL, ale nie zawiera certyfikatów: ZawieraCertsOrCrls() zwraca PR_TRUE (istnieje lista CRL), więc strażnik przechodzi, ale GetCertificateList() zwraca NULL (nie ma certyfikatów). Powoduje to, że libreswan usuwa referencję do wskaźnika zerowego, co prowadzi do awarii i ponownego uruchomienia. Złośliwy pakiet IKE_AUTH może wywołać ten błąd, co oznacza, że peer nie musi być uwierzytelniany. Nie jest możliwe zdalne wykonanie kodu. Dalsze wykorzystywanie może spowodować odmowę usługi.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org