CVE-2026-25075 Strumento di Valutazione della Vulnerabilità

Rileva in sicurezza se un server VPN strongSwan è vulnerabile a CVE-2026-25075 senza causare alcuna interruzione. Vedi l'analisi completa sul blog di Bishop Fox.

Descrizione

CVE-2026-25075 è una vulnerabilità di integer underflow nel plugin EAP-TTLS di strongSwan che consente a un utente malintenzionato remoto non autenticato di mandare in crash il demone IKE tramite un messaggio EAP-TTLS appositamente costruito. La vulnerabilità interessa tutte le versioni di strongSwan dalla 4.5.0 alla 6.0.4, coprendo oltre 15 anni di rilasci.

Questo strumento esegue test di vulnerabilità non distruttivi:

Stabilendo una sessione IKEv2 completa con autenticazione EAP-TTLS
Negoziando chiavi di crittografia tramite scambio Diffie-Hellman
Completando l'handshake TLS richiesto per EAP-TTLS
Inviando un AVP (Attribute-Value Pair) di test con length=1 ma senza payload dati

L'invio di un header AVP con un campo di lunghezza non valido ma senza dati associati innesca l'integer underflow a fini di rilevamento, ma evita la corruzione dell'heap perché memcpy(ptr, data, 0) è un no-op. Il server rimane stabile e può continuare a gestire le connessioni.

Servers vulnerabili accetteranno l'AVP malformato e invieranno un riconoscimento EAP-TTLS, confermando la presenza di CVE-2026-25075.
Servers corretti (6.0.5+) rifiuteranno l'AVP malformato a causa dei controlli di validazione introdotti nella correzione.
Servers non interessati non riusciranno a eseguire l'handshake EAP-TTLS, nel qual caso la vulnerabilità è di fatto mitigata.

Installazione

git clone https://github.com/BishopFox/CVE-2026-25075-check
cd CVE-2026-25075-check
python3 -m pip install pycryptodome tlslite-ng

Uso

Testa un server strongSwan su <TARGET>:<PORT>. La porta IKE predefinita è 500/UDP.

python3 CVE-2026-25075-check.py <TARGET> [PORT]

Esempio: Server Vulnerabile

$ python3 CVE-2026-25075-check.py 192.168.1.100 500
======================================================================
strongSwan CVE-2026-25075 Vulnerability Scanner
Non-Destructive Detection
======================================================================

[*] Target: 192.168.1.100:500
[*] Testing for CVE-2026-25075 (non-destructive)
[1] IKE_SA_INIT... OK
[2] IKE_AUTH... OK
[3] EAP Identity... OK
[4] TLS handshake... OK
[5] Sending test AVP with length=1 (header only, no data)... SENT
[*] Analyzing server response...
[+] Server sent EAP-TTLS ACK (waiting for more data)
[!] Server accepted AVP with length < 8
[!] Integer underflow vulnerability confirmed

======================================================================
RESULT: VULNERABLE to CVE-2026-25075
Server version likely: 4.5.0 - 6.0.4
Recommendation: Upgrade to strongSwan 6.0.5+
======================================================================

Esempio: Server Corretto

$ python3 CVE-2026-25075-check.py 192.168.1.200 500
======================================================================
strongSwan CVE-2026-25075 Vulnerability Scanner
Non-Destructive Detection
======================================================================

[*] Target: 192.168.1.200:500
[*] Testing for CVE-2026-25075 (non-destructive)
[1] IKE_SA_INIT... OK
[2] IKE_AUTH... OK
[3] EAP Identity... OK
[4] TLS handshake... OK
[5] Sending test AVP with length=1 (header only, no data)... SENT
[*] Analyzing server response...
[!] No response from server
[-] Connection likely closed (AVP rejected)

======================================================================
RESULT: NOT VULNERABLE (or patched)
Server rejected AVP with invalid length
======================================================================

Precondizioni

Lo strumento può rilevare la vulnerabilità solo se sono soddisfatte le seguenti condizioni:

Il target esegue strongSwan (4.5.0 fino a 6.0.4 per le versioni vulnerabili)
Il plugin EAP-TTLS è abilitato e configurato
Il server accetta connessioni IKEv2
Il server negozia EAP-TTLS come metodo di autenticazione

Se una qualsiasi condizione non è soddisfatta, lo strumento fallirà in modo pulito nello stadio corrispondente e riporterà un risultato INCONCLUSIVE. Ad esempio:

Se EAP-TTLS non è abilitato, lo strumento riporterà che il server non supporta questo metodo di autenticazione
Se il server non è strongSwan, l'handshake IKE potrebbe fallire
Se il server è corretto (6.0.5+), rifiuterà l'AVP malformato durante la validazione

Licenza

Questo codice è distribuito sotto una licenza MIT.

Dichiarazione di non responsabilità legale

L'uso di questo strumento per attaccare target senza il previo consenso reciproco è illegale. È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili. Gli sviluppatori non si assumono alcuna responsabilità e non sono responsabili per qualsiasi uso improprio o danno causato da questo programma.

CVE-2026-25075-check

Più Popolari