Udgivelsen af pakken til oprettelse af virtuelle private netværk OpenVPN 2.6.13 er blevet offentliggjort, hvilket muliggør oprettelse af en krypteret forbindelse mellem to klientmaskiner eller drift af en centraliseret VPN-server for samtidig drift af flere klienter. I den nye version er der løst et sikkerhedsproblem, der førte til buffer-overflow på OpenVPN-serveren ved modtagelse af login eller adgangskode fra klienten, hvis størrelse overstiger værdien USER_PASS_LEN. CVE-id for sårbarheden er endnu ikke tildelt, og det er uklart, hvorvidt problemet kan bruges til at skabe fungerende exploits.
Fra ikke-sikkerhedsrelaterede ændringer kan nævnes:
- Implementering af en parameter IV_PLAT_VER fra klienten, der indeholder oplysninger om OS-versionen, der gives af funktionen uname(), hvilket muliggør servere indsamling af statistik om de OS-versioner, der anvendes af klienterne.
- På systemer med Linux er der sikret opstart af systemd-ask-password-processen med parametret "—timeout=0" for at deaktivere den standardmæssige 90-sekunders timeout.
- Lækager af hukommelse, der manifesterer sig i FreeBSD, er blevet rettet.
- Ved opstart med optionen "—auth-nocache" er der gennemført fjernelse af autentifikationsparametre til proxy fra hukommelsen efter deres anvendelse.
- I Windows-klienten er funktionen CryptProtectMemory() brugt til sikker opbevaring af cachede adgangskoder og tokens i hukommelsen. Der er anvendt et nyt API til at få driverversionen dco-win.
Kilde: opennet.ru
