Подготвени са корективни версии OpenVPN 2.5.6 и 2.4.12, пакет за създаване на виртуални частни мрежи, който позволява да се организира криптирано съединение между две клиентски машини или да се осигури работа на централизирания VPN сървър за едновременно използване от няколко клиента. Кодът на OpenVPN се разпространява под лицензия GPLv2, готовите бинарни пакети се генерират за Debian, Ubuntu, CentOS, RHEL и Windows.
В новите версии е отстранена уязвимост, която потенциално позволява заобикаляне на аутентификацията чрез манипулация с външни приставки, поддържащи режим на отложена аутентификация (deferred_auth). Проблемът възниква, когато няколко приставки изпращат отложени отговори за аутентификация, което позволява на външния потребител да получи достъп на базата на не напълно коректни удостоверителни данни. Започвайки с версиите OpenVPN 2.5.6 и 2.4.12, опити за използване на отложена аутентификация от няколко приставки ще водят до извеждане на грешка.
От другите промени можем да отбележим включването на нова приставка sample-plugin/defer/multi-auth.c, която може да бъде полезна за организиране на тестове за едновременно използване на различни приставки за аутентификация, за да се избегнат уязвимости, подобни на разгледаната по-горе. На платформата Linux е настроена опцията "—mtu-disc maybe|yes". Отстранена е теча на паметта в процедурите за добавяне на маршрути.
Източник: opennet.ru
