Byla vydána verze OpenVPN 2.6.7, balíku pro vytváření virtuálních privátních sítí, který umožňuje realizovat šifrované spojení mezi dvěma klientskými stanicemi nebo zajistit provoz centralizovaného VPN serveru pro současné volání více klientů. Nová verze odstraňuje dvě zranitelnosti:
- CVE-2023-46850 — přístup do uvolněného paměťového prostoru (use-after-free) může vést k odeslání obsahu paměti procesu na druhou stranu spojení, a potenciálně k vzdálenému spuštění kódu. Problém se projevuje v konfiguracích využívajících TLS (spuštěných bez parametru „—secret“).
- CVE-2023-46849 — vznik situace dělení nulou může vést k vzdáleně iniciovanému havarijnímu ukončení přístupového serveru v konfiguracích využívajících volbu „—fragment“.
Změny, které nejsou spojeny s bezpečností v OpenVPN 2.6.7:
- Přidáno varování při odesílání paketů DATA_V1 ze strany druhého, když se klient OpenVPN 2.6.x pokouší připojit k nekompatibilním serverům na bázi verzí 2.4.0-2.4.4 (ke odstranění nekompatibility lze použít možnost „—disable-dco“).
- Byl odstraněn zastaralý způsob vázaný na OpenSSL 1.x, který používal OpenSSL Engine pro načítání klíčů. Důvodem je neochota autora přepracovat kód s novými výjimkami pro vázání.
- Přidáno varování při připojení klienta p2p NCP k serveru p2mp (kombinace používaná pro práci bez vyjednávání šifrování), protože existují problémy při použití verzí 2.6.x na obou stranách spojení.
- Přidáno varování, že flag „—show-groups“ nezobrazuje všechny podporované skupiny.
- V parametru „—dns“ byla odstraněna podpora argumentu „exclude-domains“, který se objevil ve verzi 2.6, ale zatím není podporován backendy.
- Přidáno varování, které je zobrazeno, pokud řídicí zpráva INFO má příliš velkou velikost a nemůže být předána klientovi.
- Pro sestavení pomocí MinGW a MSVC byla přidána podpora pro systém sestavení CMake. Podpora starého systému sestavení MSVC byla odstraněna.
Dále lze uvést odhalení 9 zranitelností ve veřejném VPN-serveru SoftEther. Jedním z problémů (CVE-2023-27395) byla přiřazena kritická úroveň nebezpečí — zranitelnost je způsobena přetečením vyrovnávací paměti a může vést k vzdálenému spuštění kódu na straně klienta při pokusu o připojení k serveru ovládanému útočníkem. Zranitelnost byla odstraněna v červnové aktualizaci SoftEther VPN 4.42 Build 9798 RTM. Další dvě zranitelnosti (CVE-2023-32634, CVE-2023-27516) umožňují získat neoprávněný přístup k VPN relaci během MITM útoku pomocí předem nastavených přihlašovacích údajů pro server RPC. Zranitelnosti byly odstraněny ve formě patche.
Zranitelnosti CVE-2023-31192 a CVE-2023-32275 (patch) mohou vést k úniku důvěrných informací v některých paketech v důsledku MITM útoků. Zbývajících 4 zranitelností (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 a CVE-2023-25774) mohou být použity k vyvolání odmítnutí služby, například k nucenému přerušení spojení nebo havarijnímu ukončení klienta. Do základní kódu SoftEther VPN bylo nedávno také přijato opravení 7 zranitelností, podrobnosti o kterých zatím nejsou k dispozici.
Zdroj: opennet.ru
