Byly připraveny opravy pro OpenVPN 2.5.2 a 2.4.11, balíček pro vytváření virtuálních privátních sítí, který umožňuje zřídit šifrované spojení mezi dvěma klientskými počítači nebo zajistit provoz centralizovaného VPN serveru pro současný provoz několika klientů. Kód OpenVPN je distribuován pod licencí GPLv2, hotové binární balíčky jsou vytvářeny pro Debian, Ubuntu, CentOS, RHEL a Windows.
V nových verzích byla odstraněna zranitelnost (CVE-2020-15078), která umožňuje vzdálenému útočníkovi obejít autentizaci a omezení přístupu k organizaci úniku dat o VPN nastavení. Problém se projevuje pouze na serverech, kde je nastavena použití odložené autentizace (deferred_auth). Útočník může za určitých okolností donutit server vrátit zprávu PUSH_REPLY s daty o nastavení VPN před odesláním zprávy AUTH_FAILED. V kombinaci s použitím parametru „—auth-gen-token“ nebo aplikací uživatelem vlastního schématu autentizace na základě tokenů může zranitelnost vést k získání přístupu k VPN s použitím nefunkčního účtu.
Z nezabezpečených změn je zaznamenáno rozšíření výstupu informací o TLS šifrách, dohodnutých pro použití klientem a serverem. Mezi nimi byly přidány správné informace o podpoře TLS 1.3 a EC certifikátů. Kromě toho je absence CRL souboru se seznamem odvolaných certifikátů při spuštění OpenVPN nyní vykládána jako chyba, která vede k ukončení činnosti.
Zdroj: opennet.ru
