Pripremljena su ispravna izdanja OpenVPN 2.5.2 i 2.4.11, paketa za stvaranje virtualnih privatnih mreža koji vam omogućuje organiziranje šifrirane veze između dva klijentska računala ili pružanje centraliziranog VPN poslužitelja za istovremeni rad nekoliko klijenata. OpenVPN kod se distribuira pod licencom GPLv2, generiraju se gotovi binarni paketi za Debian, Ubuntu, CentOS, RHEL i Windows.
Nova izdanja popravljaju ranjivost (CVE-2020-15078) koja omogućuje udaljenom napadaču da zaobiđe autentifikaciju i ograničenja pristupa kako bi curile VPN postavke. Problem se pojavljuje samo na poslužiteljima koji su konfigurirani za korištenje deferred_auth. Pod određenim okolnostima, napadač može natjerati poslužitelj da vrati PUSH_REPLY poruku s podacima o VPN postavkama prije slanja AUTH_FAILED poruke. U kombinaciji s upotrebom parametra --auth-gen-token ili korisnikovom upotrebom vlastite sheme provjere autentičnosti temeljene na tokenu, ranjivost može rezultirati time da netko dobije pristup VPN-u koristeći račun koji ne radi.
Među nesigurnosnim promjenama, tu je i proširenje prikaza informacija o TLS šiframa dogovorenim za korištenje od strane klijenta i poslužitelja. Uključujući točne informacije o podršci za TLS 1.3 i EC certifikate. Osim toga, nepostojanje CRL datoteke s popisom opozvanih certifikata tijekom pokretanja OpenVPN-a sada se tretira kao pogreška koja dovodi do prekida.
Izvor: opennet.ru