En korrektionsudgave af OpenVPN 2.5.3 er blevet udgivet. Dette program til oprettelse af virtuelle private netværk muliggør en sikker forbindelse mellem to klientmaskiner eller fungerer som en central VPN-server til samtidig brug af flere klienter. OpenVPN-koden distribueres under GPLv2-licensen, og der findes binære pakker til Debian, Ubuntu, CentOS, RHEL og Windows.
I den nye version er en sårbarhed (CVE-2021-3606) blevet rettet, som kun forekom i Windows-versionen. Sårbarheden tillod indlæsning af OpenSSL-konfigurationsfiler fra skrivebare eksterne mapper for at ændre krypteringsindstillingerne. I den nye version er indlæsningen af OpenSSL-konfigurationsfiler helt deaktiveret.
Blandt de ændringer, der ikke vedrører sikkerhed, kan nævnes tilføjelsen af optionen "—auth-token-user" (svarende til "—auth-token", men uden brug af "—auth-user-pass"), forbedringer i byggeprocessen for Windows, forbedret support til mbedtls-biblioteket og opdatering af ophavsretserklæringer i koden (kosmetiske ændringer).
Derudover kan det nævnes, at Opera har deaktiveret sin VPN for russiske brugere på anmodning fra Roskomnadzor. På nuværende tidspunkt fungerer VPN-funktionen ikke længere i beta- og udviklerversioner af browseren. Roskomnadzor hævder, at begrænsningerne er nødvendige for "at reagere på trusler mod omgåelse af begrænsninger vedrørende børnepornografi, selvmord, stofmisbrug og andet forbudt indhold". Udover Opera VPN er blokeringen også anvendt på tjenesten VyprVPN.
Tidligere havde Roskomnadzor sendt advarsler til 10 VPN-tjenester med krav om "tilslutning til den statslige informationssystem (FGIS)" for at blokere adgangen til forbudte ressourcer i Rusland. Opera VPN og VyprVPN var blandt dem. 9 ud af 10 tjenester ignorerede kravet eller nægtede at samarbejde med Roskomnadzor (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Kun produktet Kaspersky Secure Connection opfyldte kravene.
Kilde: opennet.ru
