IPsec 的设定漏洞能导致资料泄露
IP Security (IPsec) 是由 Internet Engineering Task Force (IETF) 所开发的协定，为了支援在 IP 层级安全交换封包。IPsec 已广泛地应用在虚拟私人网络 (VPNs) 的运作。

三种针对 IPsec 某些设定漏洞的攻击已被证实。这些设定包括在隧道模式下使用安全封装运载 (ESP)，但是只保护机密性，或由较高层级协定来提供完整性的保护。某些设定使用 AH 来保护完整性也受影响。在这些设定环境下，攻击者可以修改 IPsec 封包的会话，令到封包内里的纯文字重新导向或网络上的主机产生错误讯息。在后者的情况下，错误讯息会经 ICMP 传送；由于 ICMP 设计上的特性，这些讯息会以纯文字方式直接显示标头部份和资料包的内容。若攻击者能截取这些 ICMP 讯息，便可获取讯息内的纯文字内容。这些攻击已经在真实的环境下进行测试并证实是可行的。



影响

一个未经授权的远端攻击者，可以在安全闸道之间截取和修改 IPsec (和在某些情况下的 ICMP) 通讯 ，可能将 IPsec 通讯内容还原成纯文字。
受影响之系统

若 IPsec 设定是在隧道模式下使用安全封装运载 (ESP)，但是只保护机密性，或由较高层级协定来提供完整性的保护。某些设定使用 AH 来保护完整性也受影响。
解决方案

以下的方法都可以纠正以上的问题：

1. 建议将 ESP 设定同时采用机密性和完整性的保护 。

2. 利用 AH 和 ESP 协定来提供机密性的保护。但是，在执行时要非常小心：例如：在输送模式下，AH 是使用点对点的设定，在隧道内的 ESP 是仍然受漏洞影响。

3. 禁止产生 ICMP 讯息或在防火墙或安全闸道过滤这些讯息来清除错误报告。

相关连结

http://www.niscc.gov.uk/niscc/docs/...86.html?lang=en
http://www.kb.cert.or...d/302220