Die Veröffentlichung des Pakets zur Erstellung virtueller privater Netzwerke OpenVPN 2.6.13 ermöglicht die Organisation einer verschlüsselten Verbindung zwischen zwei Client-Rechnern oder die Bereitstellung eines zentralen VPN-Servers für den gleichzeitigen Betrieb mehrerer Clients. In der neuen Version wurde ein Sicherheitsproblem behoben, das zu einem Pufferüberlauf auf der Server-Seite von OpenVPN führt, wenn Anmeldedaten vom Client, deren Länge den Wert USER_PASS_LEN überschreitet, empfangen werden. Eine CVE-ID für die Schwachstelle wurde bisher nicht zugewiesen, und es ist unklar, wie leicht die Problematik ausnutzbar ist.
Zu den nicht mit Sicherheitsproblemen verbundenen Änderungen gehört:
- Die Übermittlung des Parameters IV_PLAT_VER durch den Client, der Informationen über die Version des Betriebssystems enthält, die von der Funktion uname() ausgegeben wird, was es ermöglicht, damit Servern Statistiken über die von den Clients verwendeten Betriebssystemversionen zu sammeln.
- Auf Linux-Systemen wird der Prozess systemd-ask-password mit dem Parameter „—timeout=0“ gestartet, um den standardmäßig angewendeten 90-sekündigen Timeout zu deaktivieren.
- Speicherlecks, die in FreeBSD auftreten, wurden behoben.
- Beim Start mit der Option „—auth-nocache“ wird nach deren Verwendung der Parameter für die Authentifizierung aus dem Speicher entfernt.
- Im Windows-Client wird die Funktion CryptProtectMemory() verwendet, um die im Speicher zwischengespeicherten Passwörter und Tokens sicher zu speichern. Eine neue API wurde zur Abfrage der Treiberversion dco-win implementiert.
Quelle: opennet.ru
