দুর্বলতা OpenVPNযা প্লাগইন এবং তৃতীয় পক্ষের হ্যান্ডলারগুলিতে ডেটা প্রতিস্থাপনের অনুমতি দেয়

ভার্চুয়াল প্রাইভেট নেটওয়ার্ক তৈরির একটি প্যাকেজে থাকা দুর্বলতার (CVE-2024-5594) বিস্তারিত তথ্য প্রকাশিত হয়েছে। OpenVPNযার ফলে সংযোগের অপর প্রান্তে থাকা তৃতীয় পক্ষের এক্সিকিউটেবল ফাইল বা প্লাগইনগুলিতে যথেচ্ছ ডেটা প্রতিস্থাপিত হতে পারে। PUSH_REPLY-এর মতো কন্ট্রোল মেসেজ প্রক্রিয়াকরণের সময় নাল বাইট এবং অবৈধ অক্ষর যাচাই না করার কারণে এই দুর্বলতাটি ঘটে থাকে।

রিলিজগুলোতে সমস্যাটি সমাধান করা হয়েছে। OpenVPN ২০২৪ সালের জুন মাসে প্রকাশিত ২.৫.১১ এবং ২.৬.১১ সংস্করণে, এই দুর্বলতাটি একটি ছোটখাটো সমস্যা হিসেবে বর্ণনা করা হয়েছিল, যার ফলে লগে গার্বেজ ডেটা লেখা হতো অথবা সিপিইউ-এর ওপর চাপ বাড়তো। কিছুদিন আগে প্রকাশিত একটি আপডেটে, সমস্যাটিকে গুরুতর (১০-এর মধ্যে তীব্রতার স্তর ৯.১) পর্যায়ে উন্নীত করা হয়েছে।

অপারেশনাল বিশদ এখনও দেওয়া হয়নি। ঠিক হল অবৈধ অক্ষর সহ বার্তা প্রক্রিয়াকরণ বন্ধ করা এবং সম্পূর্ণ বাফার জুড়ে অবৈধ অক্ষর পরীক্ষা করা, শুধু নাল বাইট পর্যন্ত অংশ নয়। বিশেষ অক্ষর পরীক্ষা করা হচ্ছে এবং "AUTH_FAILED", "PUSH_*", "RESTART", "HALT", "INFO_PRE", "INFO", "CR_RESPONSE", "AUTH_PENDING" এবং "EXIT" কমান্ডের জন্য নাল বাইট যোগ করা হয়েছে .

উত্স: opennet.ru