CVE-2026-78133: use-after-free в strongSwan при коллизии рекеинга IKEv2

В библиотеке libcharon, входящей в состав strongSwan — популярного open-source решения для построения IPsec/IKEv2 VPN, — выявлена уязвимость класса use-after-free. Проблема затрагивает обработку коллизий при рекеинге (пересогласовании ключей) в протоколе IKEv2. Уязвимости присвоен идентификатор CVE-2026-78133 и базовый балл 7.5 по шкале CVSS, что соответствует высокому уровню опасности.

Подробности

Уязвимость присутствует в strongSwan версий с 6.0.0 по 6.0.7 включительно. Техническая суть проблемы — use-after-free (использование памяти после её освобождения) в libcharon при обработке ситуации коллизии рекеинга IKEv2. Коллизия возникает, когда обе стороны туннеля одновременно инициируют пересогласование ключей (rekey), что приводит к конкурирующим запросам. При определённых условиях обработка такой ситуации приводит к обращению к уже освобождённому участку памяти. Обращение к освобождённой памяти может вызвать падение демона charon, что приведёт к разрыву VPN-соединений и отказу в обслуживании (DoS). Поскольку триггером выступает корректная, но конкурентная последовательность легитимных IKEv2-сообщений, для эксплуатации может не требоваться предварительной аутентификации в некоторых сценариях конфигурации. Вместе с тем данные об активной эксплуатации уязвимости в дикой природе на момент публикации отсутствуют.

Что делать

Основная рекомендация — обновить strongSwan до версии, в которой устранена уязвимость, как только производитель выпустит соответствующий патч. Проверьте текущую версию установленного ПО и сравните её с диапазоном уязвимых версий 6.0.0–6.0.7. Если немедленное обновление невозможно, рассмотрите следующие временные меры: - Ограничьте сетевой доступ к IKEv2-сервису (UDP 500/4500) доверенными адресами и сегментами, где это применимо. - Настройте мониторинг и автоматический перезапуск процесса charon, чтобы снизить влияние возможных падений на доступность туннелей. - Изучите возможность временного изменения параметров рекеинга (например, увеличения интервалов), чтобы уменьшить вероятность одновременного пересогласования с обеих сторон. Перед любыми изменениями рекомендуется проверить конфигурацию в тестовой среде. Итог: CVE-2026-78133 — опасная уязвимость use-after-free в strongSwan 6.0.0–6.0.7, способная вызвать отказ в обслуживании VPN-инфраструктуры. Приоритет действий — установка обновления; при его отсутствии — сетевые ограничения и мониторинг демона. Организациям, использующим strongSwan в критичных туннелях, стоит отнестись к устранению уязвимости как к задаче высокого приоритета.

Источник: CVE Project (cvelistV5)