OpenVPN 2.6.13 värskendus, mis lahendab turvaprobleemi

Avaldatud on OpenVPN 2.6.13 versioon, mis võimaldab luua krüpteeritud ühenduse kahe kliendi masina vahel või korraldada tsentraliseeritud VPN-serveri tööd, mis toetab mitme kliendi samaaegset kasutamist. Uues versioonis on lahendatud turbeprobleem, mis põhjustab OpenVPN-serveri küljel mälupuhvri ületäitumise, kui klient saadab sisselogimise või parooli, mille suurus ületab USER_PASS_LEN väärtuse. CVE-kood haavatavusele pole veel määratud ning pole selge, kui tõenäoline on probleemi ärakasutamine.

Turbeohu mitteseotud muudatustest võib märkida:

• Kliendilt saadetava IV_PLAT_VER parameetri rakendamine, mis sisaldab operatsioonisüsteemi väljaande teavet, mida edastab funktsioon uname(), mis võimaldab serverites koguda statistikat klientide kasutatavate OS versioonide kohta.
• Linux'i süsteemides tagatakse systemd-ask-password protsessi käivitamine parameetriga "--timeout=0", et keelata vaikimisi kehtiv 90-sekundiline ajavöönd.
• Vabastatud mälulekete parandused, mis ilmnevad FreeBSD-s.
• Käivitamisel parameetriga "--auth-nocache" rakendatakse autentimisparameetrite kustutamist mälust pärast nende kasutamist.
• Windows klient tähistab funktsiooni CryptProtectMemory(), et turvaliselt salvestada mälus vahemällu salvestatud paroole ja token'e. Kasutusele on võetud uus API dco-win draiveri versiooni saamiseks.

Allikas: opennet.ru