Der er udgivet rettelser til OpenVPN 2.5.6 og 2.4.12, pakken til oprettelse af virtuelle private netværk, der muliggør krypteret forbindelse mellem to klientmaskiner eller sikrer drift af en centraliseret VPN-server for samtidig betjening af flere klienter. OpenVPN-koden distribueres under GPLv2-licensen, og der findes færdige binære pakker til Debian, Ubuntu, CentOS, RHEL og Windows.
I de nye versioner er en sårbarhed rettet, som potentielt kunne tillade omgåelse af autentificering via manipulation med eksterne plugins, der understøtter deferred authentication-tilstand (deferred_auth). Problemet opstår, når flere plugins sender udskudte autentificeringssvar, hvilket giver en ekstern bruger adgang baseret på ikke helt korrekte legitimationsoplysninger. Fra og med udgivelserne OpenVPN 2.5.6 og 2.4.12 vil forsøg på at bruge udskudt autentificering fra flere plugins føre til en fejlmeddelelse.
Blandt de øvrige ændringer kan nævnes inkluderingen af den nye plugin sample-plugin/defer/multi-auth.c, som kan være nyttig til testning af samtidige anvendelser af forskellige autentificeringsplugins for at undgå sårbarheder som den, der er nævnt ovenfor. På Linux-platformen er der etableret funktionalitet for indstillingen "--mtu-disc maybe|yes". Der er rettet en hukommelseslækage i procedurerne for tilføjelse af ruter.
Kilde: opennet.ru
