Die Version OpenVPN 2.6.7, einem Paket zur Erstellung virtueller privater Netzwerke, das eine verschlüsselte Verbindung zwischen zwei Client-Maschinen ermöglicht oder einen zentralen VPN-Server für den gleichzeitigen Betrieb mehrerer Clients bereitstellt, wurde veröffentlicht. In der neuen Version wurden zwei Sicherheitsanfälligkeiten behoben:
- CVE-2023-46850 – Der Zugriff auf einen Speicherbereich nach seiner Freigabe (use-after-free) kann dazu führen, dass Inhalte aus dem Arbeitsspeicher des Prozesses an die andere Seite der Verbindung gesendet werden, was auch potenziell zu einer Remote-Codeausführung führen kann. Das Problem tritt in Konfigurationen auf, die TLS verwenden (die ohne den Parameter „—secret“ gestartet werden).
- CVE-2023-46849 – Das Auftreten einer Division durch Null kann zu einer Remote-Initiierung eines Server-Absturzes in Konfigurationen führen, die die Option „—fragment“ verwenden.
Zu den nicht sicherheitsrelevanten Änderungen in OpenVPN 2.6.7:
- Eine Warnung wurde hinzugefügt, wenn die andere Seite DATA_V1-Pakete sendet, während ein OpenVPN 2.6.x-Client versucht, sich mit inkompatiblen Servern der Versionen 2.4.0-2.4.4 zu verbinden (zur Behebung der Inkompatibilität kann die Option „—disable-dco“ verwendet werden).
- Eine an OpenSSL 1.x gebundene veraltete Methode, die OpenSSL Engine zur Schlüsselverarbeitung verwendet, wurde entfernt. Als Grund wurde das Unvermögen des Autors genannt, den Code mit neuen Ausnahmen für die Bindung neu zu lizenzieren.
- Eine Warnung wurde hinzugefügt, wenn sich der p2p NCP-Client mit zu einem Server p2mp (eine Kombination, die für die Arbeit ohne Codec-Aushandlung verwendet wird) verbindet, da es Probleme gibt, wenn auf beiden Seiten der Verbindung die Versionen 2.6.x verwendet werden.
- Eine Warnung wurde hinzugefügt, dass das Flag „—show-groups“ nicht alle unterstützten Gruppen anzeigt.
- Im Parameter „—dns“ wurde die Verarbeitung des Arguments „exclude-domains“, das in der Version 2.6 eingeführt wurde, jedoch noch nicht von Backends unterstützt wird, entfernt.
- Eine Warnung wurde hinzugefügt, die angezeigt wird, wenn die Steuer-Nachricht INFO zu groß ist und nicht an den Client weitergeleitet werden kann.
- Für Builds mit MinGW und MSVC wurde die Unterstützung des CMake-Bausystems hinzugefügt. Die Unterstützung des alten MSVC-Bausystems wurde entfernt.
Zusätzlich kann die Identifizierung von 9 Sicherheitsanfälligkeiten in OpenVPN erwähnt werden. VPN-Server SoftEther. Eines der Probleme (CVE-2023-27395) wurde als kritisch eingestuft - die Schwachstelle wird durch einen Buffer Overflow verursacht und kann bei dem Versuch, eine Verbindung zu einem vom Angreifer kontrollierten Server herzustellen, zu einer Remote Code Ausführung auf der Client-Seite führen. Die Schwachstelle wurde im Juni-Update von SoftEther VPN 4.42 Build 9798 RTM behoben. Zwei weitere Schwachstellen (CVE-2023-32634, CVE-2023-27516) ermöglichen unbefugten Zugriff auf die VPN-Session während eines MITM-Angriffs, indem die standardmäßig festgelegten Anmeldeinformationen für den RPC-Server verwendet werden. Die Schwachstellen wurden in Form eines Patches behoben.
Die Schwachstellen CVE-2023-31192 und CVE-2023-32275 (Patch) können zu einem Leck vertraulicher Informationen in bestimmten Paketen führen, das durch MITM-Angriffe verursacht wird. Die verbleibenden 4 Schwachstellen (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 und CVE-2023-25774) können für einen Denial-of-Service-Angriff verwendet werden, beispielsweise um die Verbindung zwangsweise zu trennen oder den Client zum Absturz zu bringen. In den Code von SoftEther VPN wurde kürzlich auch ein Fix für 7 Schwachstellen aufgenommen, über deren Einzelheiten bisher nichts bekannt ist.
Quelle: opennet.ru
