Byly připraveny opravné verze OpenVPN 2.5.6 a 2.4.12, balíčku pro vytváření virtuálních privátních sítí, který umožňuje zajistit šifrované spojení mezi dvěma klientskými zařízeními nebo celkovou funkci centralizovaného VPN serveru pro současnou práci několika klientů. Kód OpenVPN je distribuován pod licencí GPLv2, hotové binární balíčky jsou vytvářeny pro Debian, Ubuntu, CentOS, RHEL a Windows.
Nové verze opravují zranitelnost, která potenciálně umožňuje obejít autentizaci manipulací s externími pluginy podporujícími režim odložené autentizace (deferred_auth). Problém nastává, když několik pluginů posílá odložené odpovědi autentizace, což externímu uživateli umožňuje přístup na základě nedostatečně správných přihlašovacích údajů. Od vydání OpenVPN 2.5.6 a 2.4.12 pokusy o použití odložené autentizace několika pluginy vyústí v zobrazení chyby.
Mezi dalšími změnami je třeba zmínit zařazení nového pluginu sample-plugin/defer/multi-auth.c, který může být užitečný pro testování současného použití různých autentizačních pluginů, aby se v budoucnu předešlo zranitelnostem podobným té, která byla výše zmiňována. Na platformě Linux byla nastavena funkčnost možnosti "--mtu-disc maybe|yes". Byla odstraněna únik paměti v procedurách přidávání tras.
Zdroj: opennet.ru
