Bylo vydáno vydání balíčku pro vytváření virtuálních privátních sítí OpenVPN 2.6.13, který umožňuje vytvořit šifrované spojení mezi dvěma klientskými zařízeními nebo zajistit provoz centralizovaného VPN serveru pro simultánní práce více klientů. V nové verzi byla odstraněna bezpečnostní chyba, která vedla k přetečení bufferu na straně serveru OpenVPN při příjmu od klienta přihlašovacího jména nebo hesla, jejichž délka přesahuje hodnotu USER_PASS_LEN. CVE identifikátor zranitelnosti zatím nebyl přidělen a není jasné, jak je problém vhodný pro vytváření funkčních exploitů.
Mezi nezávislými změnami, které nesouvisejí s bezpečností, je možné zmínit:
- Byla implementována možnost odesílání parametru IV_PLAT_VER klientem, který obsahuje informace o verzi operačního systému poskytované funkcí uname(), což umožňuje na serverech shromažďovat statistiky o verzích OS používaných klienty.
- Na systémech s Linuxem je zajištěn spuštění procesu systemd-ask-password s parametrem "--timeout=0" pro deaktivaci výchozího 90 sekundového časového limitu.
- Byly odstraněny úniky paměti, které se projevovaly ve FreeBSD.
- Při spuštění s volbou "--auth-nocache" byla implementována možnost odstranění parametrů autentizace pro proxy z paměti po jejich použití.
- Ve Windows klientovi byla použita funkce CryptProtectMemory() pro zabezpečené uchovávání v paměti kešovaných hesel a tokenů. Bylo použito nové API pro získání verze ovladače dco-win.
Zdroj: opennet.ru
