Sårbarheder i OpenVPN og SoftEther VPN

Udgivelsen af OpenVPN 2.6.7 er klar, en pakke til oprettelse af virtuelle private netværk, som gør det muligt at etablere en krypteret forbindelse mellem to klientmaskiner eller drive en centraliseret VPN-server til samtidig brug af flere klienter. I den nye version er der blevet rettet to sårbarheder:

• CVE-2023-46850 - adgang til hukommelsesområdet efter frigivelse (use-after-free) kan føre til, at indholdet af proceshukommelsen sendes til den anden side af forbindelsen, samt potentielt til fjernudførelse af kode. Problemet opstår i konfigurationer, der bruger TLS (kørt uden parametret "—secret").
• CVE-2023-46849 - opståen af en situation med division med nul kan føre til, at serveradgang fejler på afstand i konfigurationer, der bruger indstillingen "—fragment".

Fra de ikke-sikkerhedsrelaterede ændringer i OpenVPN 2.6.7:

• Der er tilføjet en advarsel ved afsendelse af DATA_V1-pakker fra den anden side, når en OpenVPN 2.6.x-klient forsøger at forbinde til inkompatible servere baseret på versioner 2.4.0-2.4.4 (for at løse inkompatibiliteten kan indstillingen "—disable-dco" bruges).
• Den forældede metode bundet til OpenSSL 1.x, der bruger OpenSSL Engine til indlæsning af nøgler, er blevet fjernet. Årsagen er forfatterens modvilje mod at relicense koden med nye undtagelser for binding.
• Der er tilføjet en advarsel ved forbindelse af p2p NCP-klient til server p2mp (en kombination der bruges til at operere uden forhandlingsmetoder), da der er problemer med at bruge versioner 2.6.x på begge sider af forbindelsen.
• Der er tilføjet en advarsel om, at flaget "—show-groups" ikke viser alle understøttede grupper.
• I indstillingen "—dns" er behandlingen af argumentet "exclude-domains", der blev introduceret i version 2.6, fjernet, men endnu ikke understøttet af backend-systemer.
• Der er tilføjet en advarsel, der vises, hvis kontrolmeddelelsen INFO er for stor og ikke kan videresendes til klienten.
• For build med MinGW og MSVC er der tilføjet understøttelse af CMake build-systemet. Understøttelse af det gamle MSVC build-system er fjernet.

Yderligere er der identificeret 9 sårbarheder i det åbne VPN-serveren SoftEther. Et af problemerne (CVE-2023-27395) er tildelt en kritisk faregrad — sårbarheden skyldes et buffer overflow og kan føre til fjernkodeeksekvering på klientsiden, når man forsøger at oprette forbindelse til en server, der styres af en angriber. Sårbarheden er blevet løst i juni-opdateringen af SoftEther VPN 4.42 Build 9798 RTM. Yderligere to sårbarheder (CVE-2023-32634, CVE-2023-27516) giver mulighed for uautoriseret adgang til VPN-sessionen under et MITM-angreb ved brug af standard loginoplysninger for RPC-serveren. Sårbarhederne er blevet løst i form af en patch.

Sårbarhederne CVE-2023-31192 og CVE-2023-32275 (patch) kan føre til lækage af fortrolige oplysninger i nogle pakker som følge af MITM-angreb. De resterende 4 sårbarheder (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 og CVE-2023-25774) kan bruges til at forårsage serviceafbrydelser, eksempelvis ved at tvinge forbindelsen til at blive afbrudt eller ved at krasje klienten. Der er for nylig også blevet accepteret en rettelse for 7 sårbarheder i SoftEther VPN, detaljer om disse er endnu ikke tilgængelige.

Kilde: opennet.ru