በሁለት የደንበኛ ማሽኖች መካከል የተመሰጠረ ግንኙነትን ለማደራጀት ወይም የተማከለ የቪፒኤን አገልጋይ ለብዙ ደንበኞች በአንድ ጊዜ ለማቅረብ የሚያስችል የቨርቹዋል የግል ኔትወርኮችን ለመፍጠር የተዘጋጀው OpenVPN 2.5.2 እና 2.4.11 የማስተካከያ ልቀቶች ተዘጋጅተዋል። የOpenVPN ኮድ በ GPLv2 ፍቃድ ተሰራጭቷል፣ ዝግጁ የሆኑ ሁለትዮሽ ፓኬጆች ለዴቢያን፣ ኡቡንቱ፣ ሴንቶስ፣ RHEL እና ዊንዶውስ ተፈጥረዋል።
አዲስ የተለቀቁት የርቀት አጥቂ ማረጋገጥን እንዲያልፍ እና የቪፒኤን ቅንብሮችን እንዲያስወጣ የሚያደርጉ ገደቦችን ሊፈቅድ የሚችል ተጋላጭነትን (CVE-2020-15078) ይፈታሉ። ችግሩ የሚከሰተው የዘገየ ማረጋገጫን (deferred_auth) ለመጠቀም የተዋቀሩ አገልጋዮች ላይ ብቻ ነው። አጥቂ፣ በተወሰኑ ሁኔታዎች፣ የAUTH_FAILED መልዕክቱን ከመላኩ በፊት አገልጋዩ የ PUSH_REPLY የቪፒኤን ቅንብሮችን የያዘ መልእክት እንዲመልስ ማስገደድ ይችላል። ከ "--auth-gen-token" አማራጭ አጠቃቀም ወይም ተጠቃሚው የራሳቸውን ማስመሰያ ላይ የተመሰረተ የማረጋገጫ ዘዴን ሲጠቀሙ ተጋላጭነቱ የማይሰራ መለያ በመጠቀም ወደ ቪፒኤን መድረስ ይችላል።
ከደህንነት-ነክ ያልሆኑ ለውጦች ውስጥ፣ ስለ TLS ምስጠራዎች በደንበኛው እና በአገልጋዩ ለመጠቀም የተደራደሩበት የመረጃ ውፅዓት ጨምሯል። ስለ TLS 1.3 እና EC የምስክር ወረቀቶች ድጋፍ ትክክለኛውን መረጃ ጨምሮ ተጨምሯል። በተጨማሪም፣ በOpenVPN ጅምር ወቅት የCRL CRL ፋይል አለመኖሩ አሁን እንደ መዝጋት ስህተት ነው።
ምንጭ: opennet.ru