Vulnérabilités dans OpenVPN et SoftEther VPN

La version OpenVPN 2.6.7 a été publiée, un paquet permettant de créer des réseaux privés virtuels, permettant d'établir une connexion chiffrée entre deux machines clientes ou d'assurer le fonctionnement d'un serveur VPN centralisé pour le travail simultané de plusieurs clients. Dans cette nouvelle version, deux vulnérabilités ont été corrigées :

• CVE-2023-46850 — un accès à une zone mémoire après sa libération (use-after-free) peut entraîner l'envoi vers l'autre extrémité de la connexion du contenu de la mémoire du processus, ainsi qu'un potentiel exécution de code à distance. Le problème se manifeste dans les configurations utilisant TLS (exécutées sans le paramètre «—secret»).
• CVE-2023-46849 — la survenance d'une situation de division par zéro peut entraîner l'initiation à distance d'un arrêt d'urgence du serveur d'accès dans les configurations utilisant l'option «—fragment».

Concernant les changements non liés à la sécurité dans OpenVPN 2.6.7 :

• Un avertissement a été ajouté lors de l'envoi par l'autre partie de paquets DATA_V1 lors de la tentative de connexion d'un client OpenVPN 2.6.x à des serveurs incompatibles basés sur les versions 2.4.0-2.4.4 (pour résoudre l'incompatibilité, vous pouvez utiliser l'option «—disable-dco»).
• Le vieux méthode lié à OpenSSL 1.x utilisant OpenSSL Engine pour le chargement des clés a été supprimé. La raison invoquée est la réticence de l'auteur à relicencier le code avec de nouvelles exceptions concernant le lien.
• Un avertissement a été ajouté lors de la connexion d'un client p2p NCP à serveur p2mp (combinaison utilisée pour fonctionner sans négociation de ciphers), car il y a des problèmes lors de l'utilisation des versions 2.6.x des deux côtés de la connexion.
• Un avertissement a été ajouté indiquant que le drapeau «—show-groups» ne montre pas tous les groupes pris en charge.
• Dans le paramètre «—dns», le traitement de l'argument «exclude-domains», apparu dans la branche 2.6, mais qui n'est pas encore supporté par les backends, a été supprimé.
• Un avertissement a été ajouté, affiché si le message de contrôle INFO est trop volumineux et ne peut être redirigé vers le client.
• Pour les builds utilisant MinGW et MSVC, le support du système de construction CMake a été ajouté. Le support de l'ancien système de construction MSVC a été supprimé.

De plus, il convient de noter la découverte de 9 vulnérabilités dans le code ouvert. VPN-sur le serveur SoftEther. Un des problèmes (CVE-2023-27395) a été classé comme critique — cette vulnérabilité est causée par un débordement de tampon et peut entraîner l'exécution de code à distance côté client lors d'une tentative de connexion à un serveur contrôlé par un attaquant. La vulnérabilité a été corrigée dans la mise à jour de juin de SoftEther VPN 4.42 Build 9798 RTM. Deux autres vulnérabilités (CVE-2023-32634, CVE-2023-27516) permettent d'accéder de manière non autorisée à une session VPN lors d'une attaque MITM en utilisant des identifiants par défaut pour le serveur RPC. Les vulnérabilités ont été corrigées sous forme de patch.

Les vulnérabilités CVE-2023-31192 et CVE-2023-32275 (patch) peuvent entraîner une fuite d'informations confidentielles dans certains paquets à la suite d'attaques MITM. Les 4 vulnérabilités restantes (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 et CVE-2023-25774) peuvent être exploitées pour provoquer des dénis de service, par exemple en forcant la rupture de la connexion ou le crash du client. Récemment, 7 vulnérabilités ont également été corrigées dans la base de code de SoftEther VPN, dont les détails ne sont pas encore disponibles.

Source : opennet.ru