भेद्यता समाधान के साथ OpenVPN 2.5.2 और 2.4.11 अद्यतन

ओपनवीपीएन 2.5.2 और 2.4.11 के सुधारात्मक रिलीज तैयार किए गए हैं, वर्चुअल प्राइवेट नेटवर्क बनाने के लिए एक पैकेज जो आपको दो क्लाइंट मशीनों के बीच एक एन्क्रिप्टेड कनेक्शन व्यवस्थित करने या कई क्लाइंट के एक साथ संचालन के लिए एक केंद्रीकृत वीपीएन सर्वर प्रदान करने की अनुमति देता है। OpenVPN कोड GPLv2 लाइसेंस के तहत वितरित किया जाता है, डेबियन, उबंटू, CentOS, RHEL और Windows के लिए तैयार बाइनरी पैकेज तैयार किए जाते हैं।

नई रिलीज़ एक भेद्यता (CVE-2020-15078) को ठीक करती है जो एक दूरस्थ हमलावर को वीपीएन सेटिंग्स को लीक करने के लिए प्रमाणीकरण और एक्सेस प्रतिबंधों को बायपास करने की अनुमति देती है। समस्या केवल उन सर्वरों पर दिखाई देती है जो deferred_auth का उपयोग करने के लिए कॉन्फ़िगर किए गए हैं। कुछ परिस्थितियों में, कोई हमलावर AUTH_FAILED संदेश भेजने से पहले सर्वर को वीपीएन सेटिंग्स के बारे में डेटा के साथ PUSH_REPLY संदेश वापस करने के लिए मजबूर कर सकता है। जब --auth-gen-टोकन पैरामीटर के उपयोग या उपयोगकर्ता द्वारा अपने स्वयं के टोकन-आधारित प्रमाणीकरण योजना के उपयोग के साथ जोड़ा जाता है, तो भेद्यता के परिणामस्वरूप कोई व्यक्ति गैर-कार्यशील खाते का उपयोग करके वीपीएन तक पहुंच प्राप्त कर सकता है।

गैर-सुरक्षा परिवर्तनों के बीच, क्लाइंट और सर्वर द्वारा उपयोग के लिए सहमत टीएलएस सिफर के बारे में जानकारी के प्रदर्शन का विस्तार है। टीएलएस 1.3 और ईसी प्रमाणपत्रों के समर्थन के बारे में सही जानकारी शामिल है। इसके अलावा, ओपनवीपीएन स्टार्टअप के दौरान प्रमाणपत्र निरस्तीकरण सूची के साथ सीआरएल फ़ाइल की अनुपस्थिति को अब समाप्ति की ओर ले जाने वाली त्रुटि के रूप में माना जाता है।

स्रोत: opennet.ru