CVE-2026-35333

Loop infinito pré-autenticação no iterador de atributos RADIUS do strongSwan / DoS remoto.

Descrição

attribute_enumerate() em src/libradius/radius_message.c:247-271 aceita atributos RADIUS cujo byte length é menor que sizeof(rattr_t) (2). Para length == 0:

• data->len = next->length - sizeof(rattr_t) causa underflow para (size_t)-2
• this->left -= next->length é left -= 0 — o contador nunca diminui
• this->next += next->length é next += 0 — o ponteiro nunca avança

O enumerador retorna o mesmo atributo inválido a cada iteração, travando o loop while (enumerate(...)) do chamador.

O callback de recebimento DAE em eap_radius_dae.c chama request->verify(..., NULL, secret, ...) antes de despachar no código RADIUS. Para code == Access-Request, verify() pula a verificação MD5 do Response-Authenticator e percorre o enumerador de atributos para encontrar Message-Authenticator — então o atributo de comprimento zero prende o parser antes que o segredo compartilhado seja verificado. O ataque não é autenticado.

Um único pacote UDP fixa uma thread de trabalho charon em 100% de CPU para sempre. Repita N vezes para exaurir todas as N threads de trabalho.

Afetados: strongSwan <= 5.9.13. Corrigido no commit e067d24293 do upstream master (2026-04-21).

Uso

python3 poc.py --target <charon-host> --port 3799

Requisitos

• Alvo: strongSwan charon com o plugin eap-radius carregado e dae.enable = yes (ouvinte UDP/3799)
• Atacante: conectividade de rede para UDP/3799, Python 3 (apenas stdlib)

Referências

• https://www.johannes-moeller.dev/blog/cve-2026-35333-strongswan-libradius
• https://github.com/strongswan/strongswan/commit/e067d24293
• https://nvd.nist.gov/vuln/detail/CVE-2026-35333

Aviso Legal

Este projeto é distribuído sob a GNU GPLv3.

É fornecido para pesquisa de segurança defensiva, educação e testes autorizados. Não use este código contra sistemas ou serviços sem permissão explícita do proprietário.

O uso não autorizado pode violar a lei aplicável. Os autores não concedem permissão para testar sistemas de terceiros e não são responsáveis pelo uso indevido.

Veja o arquivo LICENSE para termos de garantia e responsabilidade.