Pripremljena su ispravna izdanja OpenVPN 2.5.6 i 2.4.12, paketa za kreiranje virtualnih privatnih mreža, koji omogućava uspostavljanje šifrirane veze između dva klijentska računala ili rad centraliziranog VPN poslužitelja za simultani rad više klijenata. Kod OpenVPN-a distribuira se pod GPLv2 licencom, gotovi binarni paketi formiraju se za Debian, Ubuntu, CentOS, RHEL i Windows.
U novim verzijama ispravljena je ranjivost koja potencijalno omogućava zaobilaženje autentifikacije manipulacijom s vanjskim pluginovima koji podržavaju način odložene autentifikacije (deferred_auth). Problem se javlja kada nekoliko pluginova šalje odložene odgovore za autentifikaciju, što omogućava vanjskom korisniku pristup temeljen na djelomično ispravnim podacima za prijavu. Počevši od izdanja OpenVPN 2.5.6 i 2.4.12, pokušaji korištenja odložene autentifikacije od strane više pluginova će rezultirati prikazivanjem greške.
Među ostalim izmjenama može se istaknuti uključivanje novog plugina sample-plugin/defer/multi-auth.c, koji može biti koristan za organizaciju testiranja simultane upotrebe različitih pluginova za autentifikaciju, kako bi se u budućnosti izbjegle ranjivosti, poput one koja je obuhvaćena ovdje. Na Linux platformi uspostavljena je funkcionalnost opcije "—mtu-disc maybe|yes". Ispravljena je curenje memorije u postupcima dodavanja ruta.
Izvor: opennet.ru
