Die Veröffentlichung des Pakets für die Einrichtung virtueller privater Netzwerke OpenVPN 2.6.13 ermöglicht es, eine verschlüsselte Verbindung zwischen zwei Client-Maschinen herzustellen oder einen zentralen VPN-Server bereitzustellen, der mehrere Clients gleichzeitig bedienen kann. In der neuen Version wurde ein Sicherheitsproblem behoben, das zu einem Pufferüberlauf auf der Seite des OpenVPN-Servers führte, wenn der Server Anmeldedaten mit einer Länge über dem Wert USER_PASS_LEN erhielt. Der CVE-Identifikator für die Schwachstelle wurde noch nicht zugewiesen, und es ist unklar, inwieweit dieses Problem für die Erstellung funktionierender Exploits geeignet ist.
In Bezug auf nicht sicherheitsrelevante Änderungen können folgende Punkte erwähnt werden:
- Der Kunde sendet jetzt den Parameter IV_PLAT_VER, der Informationen über die Betriebssystemversion enthält, die durch die Funktion uname() bereitgestellt wird. Dies ermöglicht es, Servern Statistiken über die verwendeten OS-Versionen der Clients zu sammeln.
- Auf Systemen mit Linux wird der Prozess systemd-ask-password mit dem Parameter „—timeout=0“ gestartet, um den standardmäßig angewendeten 90-Sekunden-Timer zu deaktivieren.
- Speicherlecks, die in FreeBSD aufgetreten sind, wurden behoben.
- Beim Start mit der Option „—auth-nocache“ werden die Authentifizierungsparameter für den Proxy nach ihrer Verwendung aus dem Speicher entfernt.
- Im Windows-Client wird die Funktion CryptProtectMemory() für die sichere Speicherung von zwischengespeicherten Passwörtern und Tokens im Speicher verwendet. Eine neue API zur Abfrage der Version des Treibers dco-win wurde implementiert.
Quelle: opennet.ru
