Preparáronse as versións correctoras de OpenVPN 2.5.2 e 2.4.11, un paquete para a creación de redes privadas virtuais que permite organizar unha conexión cifrada entre dúas máquinas cliente ou proporcionar un servidor VPN centralizado para o funcionamento simultáneo de varios clientes. O código OpenVPN distribúese baixo a licenza GPLv2, xéranse paquetes binarios preparados para Debian, Ubuntu, CentOS, RHEL e Windows.
As novas versións solucionan unha vulnerabilidade (CVE-2020-15078) que permite a un atacante remoto evitar as restricións de autenticación e acceso para filtrar a configuración da VPN. O problema só aparece nos servidores que están configurados para usar deferred_auth. En determinadas circunstancias, un atacante pode obrigar ao servidor a devolver unha mensaxe PUSH_REPLY con datos sobre a configuración da VPN antes de enviar a mensaxe AUTH_FAILED. Cando se combina co uso do parámetro --auth-gen-token ou co uso do usuario do seu propio esquema de autenticación baseado en tokens, a vulnerabilidade pode provocar que alguén acceda á VPN mediante unha conta que non funciona.
Entre os cambios non relacionados coa seguridade, hai unha ampliación da visualización de información sobre os cifrados TLS acordados para o seu uso polo cliente e o servidor. Incluíndo información correcta sobre compatibilidade con certificados TLS 1.3 e EC. Ademais, a ausencia dun ficheiro CRL cunha lista de revogación de certificados durante o inicio de OpenVPN agora trátase como un erro que leva á terminación.
Fonte: opennet.ru