Libreswan High 7.5, ale tylko FIPS + CA: jak konfiguracja kryptograficzna może całkowicie zmienić affectedness

CVE-2026-14957 dotyczy Libreswana i funkcji add_decoded_cert(). W trybie FIPS zdalny, nieuwierzytelniony attacker może wysłać malformed X.509 certificate, doprowadzić do błędu CERT_ExtractPublicKey() i wywołać assertion, która ubija proces pluto. Powtarzanie ataku może powodować trwały DoS. Najważniejsze: exploitability wymaga jednocześnie FIPS mode oraz obecności co najmniej jednego CA certificate. Konfiguracje wyłącznie PSK, bez CA w NSS database, nie są podatne.

CVE-2026-14957: pre-auth DoS — malformed X.509 → assertion → crash pluto.

Warunek: FIPS mode + co najmniej jeden CA w trust store.

Nie podatne: konfiguracje PSK bez CA. CVSS 7.5.

Dlaczego to ważne dla VM?

Scanner wersji wykryje Libreswana i CVE, ale nie odpowie, czy attack path istnieje. Potrzebne są dane konfiguracyjne: FIPS, trust store, rodzaj uwierzytelnienia i ekspozycja IKE. To nie znaczy, że CVSS 7.5 jest błędny — oznacza, że lokalny priorytet zależy od tego, czy warunki modelu są spełnione.

Conditional VEX

Dobry status dla hosta bez wymaganej konfiguracji to not_exploitable z warunkiem i rewalidacją po zmianie konfiguracji, zamiast permanentnego false positive:

status: not_exploitable condition: fips_mode: disabled # lub: brak CA w trust store revalidate_on: crypto_config_change

Bo włączenie FIPS albo dodanie CA jutro przywraca attack path.

Wniosek

CVE-2026-14957 pokazuje, że nawet pre-auth network DoS może być całkowicie zależny od konfiguracji kryptograficznej. FIPS, rodzaj auth i zawartość trust store powinny być częścią affectedness. Pytanie brzmi nie „czy mamy podatną wersję Libreswana?”, tylko: czy ten host jest w trybie FIPS i ma CA w trust store — bo dopiero to czyni go osiągalnym?

Powiązane na blogu

Keycloak: CVE tylko przy niebezpiecznej konfiguracji — configuration-aware VM i conditional VEX
Unbound: podatny tylko z DoQ i quic-port — build/config jako warunek exploitability

Źródła

Libreswan — advisory CVE-2026-14957 (02.09.2026) — libreswan.org
GitHub Advisory — GHSA-x2hf-3rgr-r89x — github.com/advisories
NVD — CVE-2026-14957 — nvd.nist.gov

Nota redakcyjna: stan informacji 3 września 2026. CVE-2026-14957 (CVSS 7.5) to pre-auth DoS w Libreswan (add_decoded_cert()) wymagający trybu FIPS i co najmniej jednego CA w trust store; konfiguracje PSK bez CA nie są podatne. Artykuł koncentruje się na configuration-aware affectedness.