Sortie d'OpenVPN 2.5.6 et 2.4.12 avec correction de vulnérabilités

Des mises à jour correctives pour OpenVPN 2.5.6 et 2.4.12 ont été préparées. Ce paquet permet de créer des réseaux privés virtuels, facilitant une connexion chiffrée entre deux machines clientes ou permettant le fonctionnement d'un serveur VPN centralisé pour le travail simultané de plusieurs clients. Le code d'OpenVPN est distribué sous la licence GPLv2, et des paquets binaires prêts à l'emploi sont disponibles pour Debian, Ubuntu, CentOS, RHEL et Windows.

Les nouvelles versions corrigent une vulnérabilité qui pourrait permettre de contourner l'authentification via la manipulation de plugins externes prenant en charge le mode d'authentification différée (deferred_auth). Le problème survient lorsque plusieurs plugins envoient des réponses d'authentification différée, permettant ainsi à un utilisateur externe d'accéder sur la base de données d'identification pas complètement valides. À partir des versions OpenVPN 2.5.6 et 2.4.12, les tentatives d'utilisation de l'authentification différée par plusieurs plugins entraîneront une erreur.

Parmi les autres changements, on note l'inclusion d'un nouveau plugin sample-plugin/defer/multi-auth.c, qui peut être utile pour tester l'utilisation simultanée de différents plugins d'authentification, afin d'éviter à l'avenir des vulnérabilités similaires à celle mentionnée ci-dessus. Sur la plateforme Linux, le fonctionnement de l'option «—mtu-disc maybe|yes» a été établi. Une fuite de mémoire dans les procédures d'ajout de routes a été corrigée.

Source : opennet.ru