Elkészült az OpenVPN 2.6.7 kiadása, amely egy virtuális privát hálózatok létrehozására szolgáló csomag, lehetővé téve a titkosított kapcsolat létrehozását két kliens gép között, vagy központosított VPN-szerver működtetését, amely egyszerre több kliens munkáját biztosítja. Az új verzióban két sebezhetőséget javítottak ki:
- CVE-2023-46850 — memória területének elérhetősége utáni felhasználása (use-after-free) másik oldalra küldheti a folyamat memória tartalmát, valamint potenciálisan távoli kód végrehajtását eredményezheti. A probléma a TLS-t használó konfigurációkban jelentkezik (amelyeket "—secret" paraméter nélkül indítanak).
- CVE-2023-46849 — nullával való osztás helyzete távoli hozzáférési szerver váratlan leállításához vezethet a "—fragment" opción használatakor.
Az OpenVPN 2.6.7 nem biztonsággal kapcsolatos változásaiban:
- Figyelmeztetés került hozzáadásra, amikor egy másik fél DATA_V1 csomagokat küld, miközben az OpenVPN 2.6.x kliens próbál csatlakozni 2.4.0-2.4.4 verziójú nem kompatibilis szerverekhez (a kompatibilitás megszüntetése érdekében használható a "—disable-dco" opció).
- Eltávolításra került az OpenSSL 1.x-hez kapcsolódó elavult módszer, amely az OpenSSL Engine-t használta a kulcsok betöltésére. Ennek oka a szerző elutasítása az új kötelmekkel való újraengedélyezésre.
- Figyelmeztetés került hozzáadásra, amikor a p2p NCP kliens csatlakozik a szerverhez p2mp-hez (a karakterlánc, amelyet a titkosítások egyeztetése nélkül használunk), mivel problémák merülnek fel, ha a 2.6.x verziót alkalmazzák mindkét oldalon.
- Figyelmeztetés került hozzáadásra arról, hogy a "—show-groups" zászló nem mutatja az összes támogatott csoportot.
- A "—dns" paraméterben eltávolításra került az "exclude-domains" argumentum kezelése, amely a 2.6 ágban jelent meg, de a háttér támogatóiként még nem támogatott.
- Figyelmeztetés került továbbá hozzáadásra, ha az INFO vezérlő üzenet túl nagy méretű és nem tudja továbbítani a kliensnek.
- MinGW és MSVC használatával készült build-ekhez hozzáadva a CMake építési rendszer támogatása. Az MSVC régi építési rendszer támogatása eltávolításra került.
Továbbá említhető, hogy 9 sebezhetőséget észleltek a nyílt forráskódú VPN-a SoftEther szerveren. Egyik problémához (CVE-2023-27395) kritikus szintű veszélyesség lett rendelve — a sérülékenységet puffertúlcsordulás okozza, ami távoli kódvégrehajtásra vezethet a kliens oldalán, amikor megpróbálnak csatlakozni a támadó által irányított szerverhez. A sérülékenységet a SoftEther VPN 4.42 Build 9798 RTM júniusi frissítésében orvosolták. További két sérülékenység (CVE-2023-32634, CVE-2023-27516) lehetővé teszi, hogy jogosulatlan hozzáférést nyerjenek a VPN munkamenethez MITM támadások során a szerver RPC alapértelmezett hitelesítő adataival. A sérülékenységeket javító folt érkezett.
A CVE-2023-31192 és CVE-2023-32275 sérülékenységek (folt) olyan titkos információk kiszivárgásához vezethetnek néhány csomagban MITM támadások következtében. A fennmaradó 4 sérülékenységet (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 és CVE-2023-25774) szolgáltatásmegtagadás előidézésére lehet használni, például a kapcsolat kényszerített megszakítására vagy a kliens összeomlására. A SoftEther VPN kódbázisába nemrégiben 7 sérülékenység javítása is belekerült, amelyek részletei még nem elérhetőek.
Forrás: opennet.ru
