StrongSwan no openSUSE: Guia Completo para Verificar, Corrigir e Mitigar Vulnerabilidades de Segurança

 

Vulnerabilidades no StrongSwan podem comprometer sua VPN no openSUSE. Aprenda a verificar sua versão, aplicar correções com um script automatizado, e implementar mitigações alternativas com iptables e AppArmor. Guia completo com comandos reais e dicas de hardening para administradores Linux. Proteja sua infraestrutura agora — e mantenha-se seguro no futuro.

O StrongSwan é uma das soluções IPsec VPN mais populares no mundo Linux, amplamente utilizado em firewalls, roteadores e servidores de acesso remoto. 

Como qualquer software crítico para infraestrutura de rede, ele está sujeito a descobertas de vulnerabilidades que podem comprometer a segurança do seu ambiente.

Em junho de 2026, a SUSE lançou uma atualização importante para o StrongSwan corrigindo oito vulnerabilidades, incluindo:

A vulnerabilidade CVE-2026-35330 é particularmente crítica (CVSS 9.2): um atacante não autenticado pode enviar um pacote UDP malicioso que causa um estouro de buffer no heap via integer underflow no parser de atributos EAP-SIM/EAP-AKA, travando o daemon IKE. Versões afetadas: StrongSwan ≤ 5.9.13.

Mas este artigo não é sobre a data em que a vulnerabilidade foi descoberta. É sobre o que você pode fazer agora — e sempre que uma nova vulnerabilidade surgir.

Como Verificar se Você Está Vulnerável

1. Verifique a versão instalada do StrongSwan

bash

# Comando principal para ver a versão
ipsec version

# Alternativa com swanctl (disponível em versões mais recentes)
swanctl --version

# Ou via rpm (mais confiável no openSUSE)
rpm -q strongswan

Exemplo de saída:

text

Linux strongSwan U5.9.12/K6.4.0-1-default

Se a versão for ≤ 5.9.13, seu sistema está vulnerável.

2. Verifique se há atualizações disponíveis

bash

# Verifica se há patches disponíveis para o StrongSwan
zypper list-updates | grep strongswan

# Ou de forma mais direta
zypper info strongswan

3. Verifique vulnerabilidades específicas (teste não-destrutivo)

Para CVE-2026-35330 e vulnerabilidades relacionadas, você pode usar ferramentas de verificação disponíveis no GitHub, como o script desenvolvido pela Bishop Fox para CVE-2026-25075, adaptado para o contexto:

bash

# Exemplo de verificação para CVE-2026-35330 (adaptado)
# ATENÇÃO: Execute apenas em ambiente de teste ou com autorização
# O script abaixo é um exemplo conceitual - sempre valide em laboratório primeiro

#!/bin/bash
VERSION=$(ipsec version 2>/dev/null | grep -oP 'U\K[0-9.]+' | head -1)
if [[ -z "$VERSION" ]]; then
    VERSION=$(rpm -q --queryformat '%{VERSION}' strongswan 2>/dev/null)
fi

echo "Versão do StrongSwan: $VERSION"

# Versões vulneráveis conhecidas (≤ 5.9.13)
if [[ "$VERSION" =~ ^[0-4]\. ]] || \
   [[ "$VERSION" =~ ^5\. ]] && [[ "$(echo "$VERSION" | cut -d. -f2)" -le 9 ]] && \
   [[ "$(echo "$VERSION" | cut -d. -f3)" -le 13 ]]; then
    echo "⚠️  ATENÇÃO: Versão vulnerável! Atualize imediatamente."
else
    echo "✅ Versão aparentemente segura (ou já atualizada)."
fi

Script de Automação para Aplicar a Correção

O script abaixo foi desenvolvido para openSUSE Leap e Tumbleweed e pode ser executado periodicamente (via cron, por exemplo) para garantir que seu StrongSwan esteja sempre atualizado.

bash

#!/bin/bash
# strongswan-security-update.sh
# Script para verificar e aplicar atualizações de segurança do StrongSwan no openSUSE
# Compatível com openSUSE Leap 15.x e Tumbleweed
# Última atualização: 2026

set -e

# Cores para output
RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
NC='\033[0m' # No Color

# Função para log
log() {
    echo -e "[$(date '+%Y-%m-%d %H:%M:%S')] $1"
}

# Verifica se é openSUSE
if ! grep -q "openSUSE" /etc/os-release; then
    log "${RED}ERRO: Este script é específico para openSUSE.${NC}"
    exit 1
fi

# Verifica se o strongswan está instalado
if ! rpm -q strongswan &>/dev/null; then
    log "${YELLOW}StrongSwan não está instalado. Nada a fazer.${NC}"
    exit 0
fi

# Obtém versão atual
CURRENT_VERSION=$(rpm -q --queryformat '%{VERSION}' strongswan 2>/dev/null)
log "Versão atual do StrongSwan: $CURRENT_VERSION"

# Verifica se há atualizações disponíveis
log "Verificando atualizações disponíveis..."
UPDATES_AVAILABLE=$(zypper list-updates 2>/dev/null | grep -c strongswan || echo "0")

if [[ "$UPDATES_AVAILABLE" -eq 0 ]]; then
    # Verifica se a versão atual é vulnerável (≤ 5.9.13)
    if [[ "$CURRENT_VERSION" =~ ^[0-4]\. ]] || \
       [[ "$CURRENT_VERSION" =~ ^5\. ]] && \
       [[ "$(echo "$CURRENT_VERSION" | cut -d. -f2)" -le 9 ]] && \
       [[ "$(echo "$CURRENT_VERSION" | cut -d. -f3)" -le 13 ]]; then
        log "${YELLOW}⚠️  Versão vulnerável detectada, mas nenhuma atualização disponível nos repositórios.${NC}"
        log "Considere adicionar o repositório de atualizações de segurança ou atualizar manualmente."
        exit 1
    else
        log "${GREEN}✅ StrongSwan está atualizado e em versão segura.${NC}"
        exit 0
    fi
fi

# Aplica a atualização
log "${YELLOW}🔄 Aplicando atualização de segurança do StrongSwan...${NC}"

# Faz backup da configuração antes de atualizar
if [[ -d /etc/strongswan ]]; then
    BACKUP_DIR="/etc/strongswan.backup.$(date +%Y%m%d_%H%M%S)"
    log "Criando backup da configuração em $BACKUP_DIR"
    cp -r /etc/strongswan "$BACKUP_DIR"
fi

# Aplica o patch via zypper
sudo zypper --non-interactive patch --cve=CVE-2026-35328,CVE-2026-35329,CVE-2026-35330,CVE-2026-35331,CVE-2026-35332,CVE-2026-35333,CVE-2026-35334,CVE-2026-47895 2>&1 || \
sudo zypper --non-interactive update strongswan 2>&1

# Verifica se a atualização foi bem-sucedida
NEW_VERSION=$(rpm -q --queryformat '%{VERSION}' strongswan 2>/dev/null)
if [[ "$CURRENT_VERSION" != "$NEW_VERSION" ]]; then
    log "${GREEN}✅ Atualização aplicada com sucesso!${NC}"
    log "Versão anterior: $CURRENT_VERSION → Nova versão: $NEW_VERSION"
    
    # Reinicia o serviço
    log "Reiniciando serviço strongswan..."
    sudo systemctl restart strongswan 2>/dev/null || \
    sudo systemctl restart ipsec 2>/dev/null || \
    log "${YELLOW}⚠️  Não foi possível reiniciar o serviço automaticamente. Reinicie manualmente.${NC}"
    
    # Verifica status
    sudo systemctl status strongswan --no-pager 2>/dev/null || \
    sudo systemctl status ipsec --no-pager 2>/dev/null
else
    log "${RED}❌ Falha ao atualizar. Verifique os logs do zypper.${NC}"
    exit 1
fi

log "${GREEN}✅ Script concluído.${NC}"

Como usar o script

   1. Salve o script como strongswan-security-update.sh

   2. Torne-o executável: chmod +x strongswan-security-update.sh

   3.  Execute como root: sudo ./strongswan-security-update.sh

Agendamento automático (cron)

Para executar o script diariamente às 3h da manhã:

bash

sudo crontab -e
# Adicione a linha:
0 3 * * * /caminho/para/strongswan-security-update.sh >> /var/log/strongswan-update.log 2>&1

📗  Recomendação de Leitura

Segurança em servidores Linux: Ataque e Defesa  (anúncio) ->  https://amzn.to/4ewrCbr

Se você prefere estudar em português e quer aprender a "pensar como um hacker" para se antecipar a invasões, essa é a pedida! O livro ensina a usar as ferramentas prediletas dos invasores (como Nmap e Netcat) a seu favor, blindando seus sistemas.

Eu ganho uma comissão quando você faz uma compra.

Mitigação Alternativa Caso Não Possa Atualizar Agora

Se você não puder aplicar a atualização imediatamente (por exemplo, em ambientes de produção com janelas de manutenção restritas), algumas medidas paliativas podem reduzir o risco:

Restringir acesso à porta UDP 500 e 4500 via iptables

A vulnerabilidade CVE-2026-35330 é explorada via pacotes UDP maliciosos. Restringir quais IPs podem se conectar ao serviço IPsec reduz drasticamente a superfície de ataque:

bash

# Limitar acesso apenas a IPs confiáveis (ex: rede interna 192.168.1.0/24)
sudo iptables -A INPUT -p udp --dport 500 -s 192.168.1.0/24 -j ACCEPT
sudo iptables -A INPUT -p udp --dport 4500 -s 192.168.1.0/24 -j ACCEPT
sudo iptables -A INPUT -p udp --dport 500 -j DROP
sudo iptables -A INPUT -p udp --dport 4500 -j DROP

# Salvar regras (openSUSE)
sudo iptables-save > /etc/sysconfig/iptables

Importante: Ajuste a rede 192.168.1.0/24 para a sua realidade. Em ambientes com roadwarriors (clientes móveis), essa abordagem pode não ser viável.

Configurar AppArmor para o StrongSwan

O openSUSE já possui suporte nativo a AppArmor. Um perfil bem configurado pode limitar o impacto de uma eventual exploração:

bash

# Verificar se o perfil do strongswan está ativo
sudo aa-status | grep -i strongswan

# Se não houver perfil, você pode criar um básico
# Exemplo de perfil mínimo em /etc/apparmor.d/usr.sbin.charon-systemd

Um perfil AppArmor para o charon-systemd pode ser copiado de distribuições que já o incluem

Isolar o StrongSwan em um container ou VM

Em ambientes críticos, considere executar o serviço VPN em um container ou máquina virtual isolada. Assim, mesmo que o StrongSwan seja comprometido, o impacto no host principal é limitado.

Monitoramento ativo de logs

Configure monitoramento para detectar tentativas de exploração:

bash

# Monitorar logs do StrongSwan em busca de padrões suspeitos
sudo journalctl -u strongswan -f | grep -i "error\|invalid\|underflow"

Conclusão

Vulnerabilidades em software como o StrongSwan são inevitáveis — o que define sua postura de segurança não é se você será afetado, mas sim sua capacidade de detectar, responder e se recuperar rapidamente

As oito vulnerabilidades corrigidas em junho de 2026 servem como um lembrete:

• Mantenha-se atualizado: zypper patch deve ser parte da sua rotina.

• Monitore ativamente: versões desatualizadas são o principal vetor de ataque.

• Tenha planos de contingência: saiba como mitigar quando não puder atualizar imediatamente.

• Invista em conhecimento: entenda o que você está protegendo e por quê.