Пускане на OpenVPN 2.5.6 и 2.4.12 с корекция на уязвимости

Подготвени са коригиращи версии на OpenVPN 2.5.6 и 2.4.12, пакет за създаване на виртуални частни мрежи, които ви позволяват да организирате криптирана връзка между две клиентски машини или да предоставите централизиран VPN сървър за множество клиенти едновременно. OpenVPN кодът се разпространява под лиценз GPLv2, формират се готови бинарни пакети за Debian, Ubuntu, CentOS, RHEL и Windows.

Новите версии елиминират уязвимост, която потенциално може да заобиколи удостоверяването чрез манипулиране на външни плъгини, които поддържат режим на отложено удостоверяване (deferred_auth). Проблемът възниква, когато няколко добавки изпращат забавени отговори за удостоверяване, което позволява на външен потребител да получи достъп въз основа на ненапълно правилни идентификационни данни. От OpenVPN 2.5.6 и 2.4.12, опитите за използване на отложено удостоверяване от множество добавки ще доведат до грешка.

Други промени включват включването на нов плъгин sample-plugin/defer/multi-auth.c, който може да бъде полезен за тестване на едновременното използване на различни добавки за удостоверяване, за да се избегнат допълнително уязвимости, подобни на обсъдените по-горе. На платформата Linux опцията „--mtu-disc maybe|yes“ работи. Коригирано изтичане на памет в процедурите за добавяне на маршрути.

Източник: opennet.ru