OpenVPN 2.5.2 и 2.4.11 актуализация с корекция на уязвимост

Подготвени са коригиращи версии на OpenVPN 2.5.2 и 2.4.11, пакет за създаване на виртуални частни мрежи, които ви позволяват да организирате криптирана връзка между две клиентски машини или да предоставите централизиран VPN сървър за множество клиенти едновременно. OpenVPN кодът се разпространява под лиценз GPLv2, формират се готови бинарни пакети за Debian, Ubuntu, CentOS, RHEL и Windows.

Нови версии разрешават уязвимост (CVE-2020-15078), която може да позволи на отдалечен нападател да заобиколи удостоверяването и ограниченията за достъп до изтичане на VPN настройки. Проблемът възниква само на сървъри, конфигурирани да използват отложено удостоверяване (deferred_auth). Нападателят при определени обстоятелства може да принуди сървъра да върне PUSH_REPLY съобщение, съдържащо VPN настройки, преди да изпрати съобщението AUTH_FAILED. В комбинация с използването на опцията „--auth-gen-token“ или използването от страна на потребителя на негова собствена схема за удостоверяване, базирана на токен, уязвимостта може да доведе до VPN достъп чрез неработещ акаунт.

От промените, които не са свързани със сигурността, има увеличение на извеждането на информация за TLS шифрите, договорени за използване от клиента и сървъра. Добавена е и точна информация за поддръжката на TLS 1.3 и EC сертификати. В допълнение, липсата на CRL CRL файл по време на стартиране на OpenVPN вече се третира като грешка при изключване.

Източник: opennet.ru