Подготвени са коригиращи версии на OpenVPN 2.5.2 и 2.4.11, пакет за създаване на виртуални частни мрежи, който позволява организиране на криптирано свързване между две клиентски машини или осигурява работа на централизирана VPN-сървър за едновременно свързване на няколко клиента. Кодът на OpenVPN се разпространява под лиценз GPLv2, готови бинарни пакети се генерират за Debian, Ubuntu, CentOS, RHEL и Windows.
В новите версии е отстранена уязвимост (CVE-2020-15078), която позволява на отдалечен атакуващ да заобиколи автентикацията и ограниченията за достъп, което води до изтичане на данни за конфигурацията на VPN. Проблемът се проявява само на сървъри, на които е настроено използването на отложена автентикация (deferred_auth). Атакуващият при определени обстоятелства може да принуди сървъра да върне съобщение PUSH_REPLY с данни за настройките VPN преди да изпрати съобщение AUTH_FAILED. В комбинация с използването на параметъра "—auth-gen-token" или прилагането на собствена схема за автентикация на потребителя, базирана на токени, уязвимостта може да доведе до получаване на достъп до VPN, използвайки неактивна сметка.
От несвързаните с безопасността промени се отбелязва разширяване на информацията относно TLS-шифровете, уговорени за използване от клиента и сървър. Включително добавени са правилни данни за поддръжката на TLS 1.3 и EC-сертификатите. Освен това, отсъствието на CRL-файл със списък на оттеглени сертификати по време на стартирането на OpenVPN сега се интерпретира като грешка, довеждаща до спиране.
Източник: opennet.ru
