Die Veröffentlichung des Pakets zur Erstellung virtueller privater Netzwerke OpenVPN 2.6.13 ermöglicht die Organisation einer verschlĂŒsselten Verbindung zwischen zwei Client-Rechnern oder die Bereitstellung eines zentralen VPN-Servers fĂŒr den gleichzeitigen Betrieb mehrerer Clients. In der neuen Version wurde ein Sicherheitsproblem behoben, das zu einem PufferĂŒberlauf auf der Server-Seite von OpenVPN fĂŒhrt, wenn Anmeldedaten vom Client, deren LĂ€nge den Wert USER_PASS_LEN ĂŒberschreitet, empfangen werden. Eine CVE-ID fĂŒr die Schwachstelle wurde bisher nicht zugewiesen, und es ist unklar, wie leicht die Problematik ausnutzbar ist.
Zu den nicht mit Sicherheitsproblemen verbundenen Ănderungen gehört:
- Die Ăbermittlung des Parameters IV_PLAT_VER durch den Client, der Informationen ĂŒber die Version des Betriebssystems enthĂ€lt, die von der Funktion uname() ausgegeben wird, was es ermöglicht, damit Servern Statistiken ĂŒber die von den Clients verwendeten Betriebssystemversionen zu sammeln.
- Auf Linux-Systemen wird der Prozess systemd-ask-password mit dem Parameter ââtimeout=0â gestartet, um den standardmĂ€Ăig angewendeten 90-sekĂŒndigen Timeout zu deaktivieren.
- Speicherlecks, die in FreeBSD auftreten, wurden behoben.
- Beim Start mit der Option ââauth-nocacheâ wird nach deren Verwendung der Parameter fĂŒr die Authentifizierung aus dem Speicher entfernt.
- Im Windows-Client wird die Funktion CryptProtectMemory() verwendet, um die im Speicher zwischengespeicherten Passwörter und Tokens sicher zu speichern. Eine neue API wurde zur Abfrage der Treiberversion dco-win implementiert.
Quelle: opennet.ru
