Ferramenta de Avaliação de Vulnerabilidade CVE-2026-25075

Detecte com segurança se um servidor VPN strongSwan está vulnerável ao CVE-2026-25075 sem causar qualquer interrupção. Veja o artigo completo no blog da Bishop Fox.

Descrição

CVE-2026-25075 é uma vulnerabilidade de underflow de inteiro no plugin EAP-TTLS do strongSwan que permite que atacantes remotos não autenticados derrubem o daemon IKE por meio de uma mensagem EAP-TTLS especialmente criada. A vulnerabilidade afeta todas as versões do strongSwan de 4.5.0 até 6.0.4, abrangendo mais de 15 anos de lançamentos.

Esta ferramenta realiza testes de vulnerabilidade não destrutivos ao:

Estabelecer uma sessão IKEv2 completa com autenticação EAP-TTLS
Negociar chaves de criptografia por meio da troca de chaves Diffie-Hellman
Concluir o handshake TLS necessário para EAP-TTLS
Enviar um AVP de teste (Par Atributo-Valor) com length=1 mas sem payload de dados

Enviar um cabeçalho AVP com um campo de comprimento inválido, mas sem dados acompanhantes, aciona o underflow de inteiro para fins de detecção, mas evita corrupção de heap porque memcpy(ptr, data, 0) é uma operação nula (no-op). O servidor permanece estável e pode continuar lidando com conexões.

Servidores vulneráveis aceitarão o AVP malformado e enviarão um reconhecimento EAP-TTLS, confirmando a presença do CVE-2026-25075.
Servidores corrigidos (6.0.5+) rejeitarão o AVP malformado devido às verificações de validação introduzidas na correção.
Servidores não afetados não conseguirão realizar o handshake EAP-TTLS; nesse caso, a vulnerabilidade é efetivamente mitigada.

Instalação

git clone https://github.com/BishopFox/CVE-2026-25075-check
cd CVE-2026-25075-check
python3 -m pip install pycryptodome tlslite-ng

Uso

Teste um servidor strongSwan em <TARGET>:<PORT>. A porta IKE padrão é 500/UDP.

python3 CVE-2026-25075-check.py <TARGET> [PORT]

Exemplo: Servidor Vulnerável

$ python3 CVE-2026-25075-check.py 192.168.1.100 500
======================================================================
strongSwan CVE-2026-25075 Vulnerability Scanner
Non-Destructive Detection
======================================================================

[*] Target: 192.168.1.100:500
[*] Testing for CVE-2026-25075 (non-destructive)
[1] IKE_SA_INIT... OK
[2] IKE_AUTH... OK
[3] EAP Identity... OK
[4] TLS handshake... OK
[5] Sending test AVP with length=1 (header only, no data)... SENT
[*] Analyzing server response...
[+] Server sent EAP-TTLS ACK (waiting for more data)
[!] Server accepted AVP with length < 8
[!] Integer underflow vulnerability confirmed

======================================================================
RESULT: VULNERABLE to CVE-2026-25075
Server version likely: 4.5.0 - 6.0.4
Recommendation: Upgrade to strongSwan 6.0.5+
======================================================================

Exemplo: Servidor Corrigido

$ python3 CVE-2026-25075-check.py 192.168.1.200 500
======================================================================
strongSwan CVE-2026-25075 Vulnerability Scanner
Non-Destructive Detection
======================================================================

[*] Target: 192.168.1.200:500
[*] Testing for CVE-2026-25075 (non-destructive)
[1] IKE_SA_INIT... OK
[2] IKE_AUTH... OK
[3] EAP Identity... OK
[4] TLS handshake... OK
[5] Sending test AVP with length=1 (header only, no data)... SENT
[*] Analyzing server response...
[!] No response from server
[-] Connection likely closed (AVP rejected)

======================================================================
RESULT: NOT VULNERABLE (or patched)
Server rejected AVP with invalid length
======================================================================

Pré-condições

A ferramenta só pode detectar a vulnerabilidade se as seguintes condições forem atendidas:

O alvo está executando strongSwan (4.5.0 até 6.0.4 para versões vulneráveis)
O plugin EAP-TTLS está habilitado e configurado
O servidor aceita conexões IKEv2
O servidor negocia EAP-TTLS como método de autenticação

Se qualquer condição não for atendida, a ferramenta falhará graciosamente no estágio correspondente e reportará um resultado INCONCLUSIVE. Por exemplo:

Se o EAP-TTLS não estiver habilitado, a ferramenta reportará que o servidor não suporta este método de autenticação
Se o servidor não for strongSwan, o handshake IKE pode falhar
Se o servidor estiver corrigido (6.0.5+), ele rejeitará o AVP malformado durante a validação

Licença

Este código é distribuído sob uma licença MIT.

Aviso Legal

O uso desta ferramenta para atacar alvos sem consentimento mútuo prévio é ilegal. É responsabilidade do usuário final obedecer a todas as leis locais, estaduais e federais aplicáveis. Os desenvolvedores não assumem nenhuma responsabilidade e não são responsáveis por qualquer uso indevido ou dano causado por este programa.

CVE-2026-25075-check

Mais Populares