Korrigerende udgivelser af OpenVPN 2.5.2 og 2.4.11 er blevet forberedt. Disse pakker muliggør oprettelse af virtuelle private netværk og giver mulighed for en krypteret forbindelse mellem to klientmaskiner eller centraliseret drift af en VPN-server, så flere klienter kan arbejde samtidigt. Koden for OpenVPN distribueres under GPLv2-licensen, og færdige binære pakker genereres til Debian, Ubuntu, CentOS, RHEL og Windows.
I de nye udgivelser er en sårbarhed (CVE-2020-15078) blevet afhjulpet, hvilket gjorde det muligt for en fjernangriber at omgå godkendelse og adgangsbegrænsninger og dermed muliggøre lækage af data om VPN-indstillinger. Problemet opstår kun på servere, hvor der er indstillet brug af udskudt godkendelse (deferred_auth). Under bestemte omstændigheder kan angriberen tvinge serveren til at returnere en PUSH_REPLY-meddelelse med oplysninger om indstillingerne. VPN tilsendelse af AUTH_FAILED-meddelelsen. I kombination med brug af parameteren "--auth-gen-token" eller anvendelse af brugerdefinerede godkendelsesskemaer baseret på tokens kan sårbarheden føre til adgang til VPN ved brug af en ugyldig konto.
Blandt de ikke-sikkerhedsrelaterede ændringer bemærkes en udvidelse af informationen om de TLS-krypteringer, der er aftalt til brug af klienten og serveren. Der er også tilføjet korrekte oplysninger om support til TLS 1.3 og EC-certifikater. Desuden signaleres manglen på en CRL-fil med en liste over tilbagekaldte certifikater ved opstart af OpenVPN nu som en fejl, der fører til nedlukning.
Kilde: opennet.ru
