Byla připravena opravená verze OpenVPN 2.5.3, balíčku pro vytváření virtuálních privátních sítí, která umožňuje vytvořit šifrované spojení mezi dvěma klientskými zařízeními nebo zajistit fungování centralizovaného VPN serveru pro současný provoz více klientů. Kód OpenVPN je distribuován pod licencí GPLv2, hotové binární balíky jsou vytvářeny pro Debian, Ubuntu, CentOS, RHEL a Windows.
V nové verzi byla odstraněna zranitelnost (CVE-2021-3606), která se projevovala pouze ve verzi pro platformu Windows. Zranitelnost umožňuje načítání konfiguračních souborů OpenSSL z externích adresářů, které jsou zapisovatelné, a tím měnit nastavení šifrování. V nové verzi je načítání konfiguračních souborů OpenSSL zcela zakázáno.
Mezi změnami, které nejsou přímo spojeny s bezpečností, stojí za zmínku přidání volby „—auth-token-user“ (ekvivalent „—auth-token“, ale bez použití „—auth-user-pass“), zlepšení procesu sestavení pro Windows, vylepšení podpory knihovny mbedtls a aktualizace poznámek o autorských právech v kódu (kosmetické změny).
Dále lze zmínit, že společnost Opera vypnula svou VPN pro ruské uživatele na žádost Roskomnadzoru. V tuto chvíli přestala funkčnost VPN fungovat v beta a developer verzích prohlížeče. Roskomnadzor tvrdí, že omezení jsou nezbytná pro "reakci na hrozby obcházení omezení přístupu k dětské pornografii, sebevražedným, pro narkotickým a dalším zakázaným obsahu". Kromě Opera VPN byla blokace také uplatněna na službu VyprVPN.
Dříve Roskomnadzor rozeslal varování 10 VPN službám s požadavkem na „připojení k státní informační soustavě (FGIS)“ pro blokaci přístupu k zakázaným zdrojům v RUS, Opera VPN a VyprVPN byly mezi nimi. 9 z 10 služeb tento požadavek ignorovalo nebo odmítlo spolupracovat s Roskomnadzorem (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Požadavky splnil pouze produkt Kaspersky Secure Connection.
Zdroj: opennet.ru
