Пуснато е издание на пакета за създаване на виртуални частни мрежи OpenVPN 2.6.13, позволяващо организиране на криптирано свързване между две клиентски машини или осигуряване на работа на централизирания VPN-сървър за едновременна работа на няколко клиенти. В новата версия е отстранен проблем със сигурността, водещ до преливане на буфер от страна на сървъра OpenVPN при получаване на логин или парола от клиента, чийто размер надхвърля стойността USER_PASS_LEN. Уязвимостта все още не е получила CVE идентификатор и не е ясно колко е подходяща за създаване на работещи експлойти.
От несвързаните със сигурността промени могат да се отбележат:
- Реализирано е изпращането от клиента на параметрите IV_PLAT_VER, съдържащи информация за версията на операционната система, предоставена от функцията uname(), което позволява сървъри събиране на статистика за версиите на ОС, използвани от клиентите.
- На системи с Linux е осигурено стартирането на процеса systemd-ask-password с параметър „—timeout=0“ за деактивиране на внедрения по подразбиране 90-секунден таймаут.
- Отстранени са течовете на памет, проявяващи се във FreeBSD.
- При стартиране с опция „—auth-nocache“ е реализирано изтриването на параметрите за удостоверяване от паметта след тяхното използване.
- В Windows клиента е използвана функцията CryptProtectMemory() за защита на съхранените в паметта кеширани пароли и токени. Използван е нов API за получаване на версията на драйвера dco-win.
Източник: opennet.ru
