Megjelent az OpenVPN 2.6.13 verzió, amely lehetővé teszi titkosított kapcsolat létrehozását két kliens gép között, vagy központi VPN-szerver működtetését, amely egyszerre támogat több klienst. Az új verzióban megszüntették a biztonsági problémát, amely a szerver oldalán fellépő puffer túlcsorduláshoz vezetett, amikor a kliens a felhasználónév vagy a jelszó olyan méretű, amely meghaladja a USER_PASS_LEN értékét. A sebezhetőség CVE azonosítója még nem lett kiadva, és nem világos, mennyire alkalmas a probléma működő kihasználások elkészítésére.
A biztonsággal nem kapcsolatos változások között kiemelhető:
- A kliens által megadott IV_PLAT_VER paraméter, amely az operációs rendszer kiadási információját tartalmazza, amit az uname() függvény ad, lehetővé teszi a szervereken statisztika gyűjtését az ügyfelek által használt operációs rendszer verziókról.
- Linuxos rendszereken biztosították a systemd-ask-password folyamat 0-ás időkorlátú indítását a valamilyen okból alkalmazott 90 másodperces időkorlát kikapcsolásához.
- Memóriaszivárgások megszüntetése a FreeBSD rendszereken.
- A "--auth-nocache" opcióval indítva a proxy hitelesítési paraméterek memóriából történő eltávolítása a használatuk után.
- A Windows kliensben a CryptProtectMemory() funkciót alkalmazzák a cache-elt jelszavak és tokenek biztonságos tárolására a memóriában. Egy új API-t aktiváltak a dco-win illesztőprogram verziójának lekérésére.
Forrás: opennet.ru
