Издаване на OpenVPN 2.5.6 и 2.4.12 с коригиране на уязвимости

Подготвени са коригиращи версии на OpenVPN 2.5.6 и 2.4.12, пакета за създаване на виртуални частни мрежи, който позволява организиране на криптирано свързване между две клиентски машини или осигуряване на работа на централен VPN сървър за едновременна работа на множество клиенти. Кодът на OpenVPN се разпространява под лицензия GPLv2, готовите бинарни пакети се формират за Debian, Ubuntu, CentOS, RHEL и Windows.

В новите версии е отстранена уязвимост, която потенциално позволява заобикаляне на автентикацията чрез манипулация с външни плъгини, подкрепящи режима отложена автентикация (deferred_auth). Проблемът възниква, когато няколко плъгина изпращат отложени отговори за автентикация, което позволява на външен потребител да получи достъп на базата на непълни коректни удостоверителни данни. Започвайки от версиите на OpenVPN 2.5.6 и 2.4.12, опитите за използване на отложена автентикация от няколко плъгина ще водят до възникване на грешка.

От другите промени можем да отбележим включването на новия плъгин sample-plugin/defer/multi-auth.c, който може да бъде полезен за организиране на тестове за едновременна употреба на различни плъгини за автентикация, с цел избягване на уязвимости, подобни на обсъдената по-горе. На платформата Linux е наложена работа на опцията «—mtu-disc maybe|yes». Отстранена е теч на паметта в процедурите за добавяне на маршрути.

Източник: opennet.ru