CVE-2026-77206

Libreswan-ın IKEv2 vəziyyət maşınının autentifikasiya üçün EAP idarəetmə kodunda null göstəricinin istifadəsi (null pointer dereference) xətası mövcuddur. IKEv2 vəziyyət maşını kodundakı uyğunsuzluq nəticəsində bu xəta, hətta EAP konfiqurasiya edilmədiyi halda belə, hər hansı IKEv2 bağlantısı tərəfindən tetiklənə bilər. Xəta, NULL olan ike->sa.st_eap elementinin yanlış şəkildə istifadə edildiyi bir fall-through halından qaynaqlanır. Zərərli IKE_AUTH paketi bu xətanı tetikləyə bilər, bu isə o deməkdir ki, qarşı tərəfin (peer) autentifikasiyadan keçməsinə ehtiyac yoxdur. Bu xəta pluto demonunun çökməsinə və yenidən başlamasına səbəb olur. Uzaqdan kodun icrası mümkün deyil. Davamlı istismar xidmətdən imtinaya (DoS) səbəb ola bilər.