Die Veröffentlichung von OpenVPN 2.6.7 wurde vorbereitet, einem Paket zur Einrichtung virtueller privater Netzwerke, das die Organisation einer verschlüsselten Verbindung zwischen zwei Clientmaschinen ermöglicht oder den Betrieb eines zentralen VPN-Servers für den gleichzeitigen Zugriff mehrerer Clients gewährleistet. In der neuen Version wurden zwei Schwachstellen beseitigt:
- CVE-2023-46850 – Der Zugriff auf einen Speicherbereich nach dessen Freigabe (use-after-free) kann dazu führen, dass Inhalte des Prozessspeichers an die andere Seite der Verbindung gesendet werden, sowie potenziell zur Ausführung von Entfernungscode führen. Das Problem tritt in Konfigurationen auf, die TLS verwenden (die ohne den Parameter „—secret“ gestartet werden).
- CVE-2023-46849 – Die Entstehung einer Division durch Null kann zu einem remote-initiierten Absturz des Zugangservers in Konfigurationen führen, die die Option „—fragment“ verwenden.
Aus nicht sicherheitsrelevanten Änderungen in OpenVPN 2.6.7:
- Eine Warnung wurde hinzugefügt, wenn die andere Seite DATA_V1-Pakete sendet, während ein OpenVPN 2.6.x-Client versucht, sich mit inkompatiblen Servern auf Basis der Versionen 2.4.0–2.4.4 zu verbinden (zur Behebung der Inkompatibilität kann die Option „—disable-dco“ verwendet werden).
- Die veraltete Methode, die mit OpenSSL 1.x verbunden ist und den OpenSSL Engine zur Schlüsselladung nutzt, wurde entfernt. Als Grund wird die Weigerung des Autors genannt, den Code mit neuen Ausnahmeregelungen für die Bindung zu lizenzieren.
- Eine Warnung wurde hinzugefügt, wenn ein p2p NCP-Client sich mit Server p2mp verbindet (eine Kombination, die zur Verwendung ohne Cipher-Aushandlung dient), da es Probleme mit Versionen 2.6.x auf beiden Seiten der Verbindung gibt.
- Eine Warnung wurde hinzugefügt, dass das Flag „—show-groups“ nicht alle unterstützten Gruppen anzeigt.
- Die Verarbeitung des Arguments „exclude-domains“ im Parameter „—dns“, das in Branch 2.6 eingeführt wurde, aber von den Backends noch nicht unterstützt wird, wurde entfernt.
- Eine Warnung wird angezeigt, wenn die Kontrollnachricht INFO zu groß ist und nicht an den Client weitergeleitet werden kann.
- Für Builds mit MinGW und MSVC wurde die Unterstützung des Build-Systems CMake hinzugefügt. Die Unterstützung für das alte Build-System MSVC wurde entfernt.
Zusätzlich kann die Entdeckung von 9 Schwachstellen in der Öffentlichkeit vermerkt werden. VPN-Server SoftEther. Eines der Probleme (CVE-2023-27395) wurde mit einem kritischen Gefährdungsgrad eingestuft – die Schwachstelle wird durch einen Pufferüberlauf verursacht und könnte beim Versuch, eine Verbindung zu einem vom Angreifer kontrollierten Server herzustellen, zu einer Remote-Code-Ausführung auf der Client-Seite führen. Die Schwachstelle wurde im Juni-Update von SoftEther VPN 4.42 Build 9798 RTM behoben. Zwei weitere Schwachstellen (CVE-2023-32634, CVE-2023-27516) ermöglichen unautorisierten Zugriff auf die VPN-Sitzung während eines MITM-Angriffs durch Verwendung der standardmäßig festgelegten Anmeldedaten für den RPC-Server. Die Schwachstellen wurden durch einen Patch behoben.
Die Schwachstellen CVE-2023-31192 und CVE-2023-32275 (Patch) können zu einem Leck vertraulicher Informationen in bestimmten Paketen führen, die durch MITM-Angriffe verursacht werden. Die verbleibenden 4 Schwachstellen (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 und CVE-2023-25774) können für Denial-of-Service-Angriffe verwendet werden, beispielsweise um die Verbindung zwangsweise zu trennen oder den Client zum Absturz zu bringen. In den Quellcode von SoftEther VPN wurden kürzlich auch 7 Schwachstellen behoben, deren Einzelheiten noch nicht bekannt sind.
Quelle: opennet.ru
