Elkészült az OpenVPN 2.5.2 és 2.4.11 hibajavító kiadása, amely egy virtuális magánhálózat létrehozására szolgáló csomag, lehetővé téve a titkosított kapcsolat kialakítását két ügyfélszámítógép között, vagy központosított VPN-szerver működtetését több ügyfél egyidejű használatára. Az OpenVPN kódja GPLv2 licenc alatt terjed, a kész bináris csomagok Debian, Ubuntu, CentOS, RHEL és Windows rendszerekhez készülnek.
Az új kiadásokban kijavították a CVE-2020-15078 sebezhetőséget, amely lehetővé teszi a távoli támadó számára, hogy megkerülje az azonosítást és a hozzáférési korlátozásokat, ezzel adatokat szivárogtasson ki a VPN beállításairól. A probléma csak azokon a szervereken jelentkezik, ahol késleltetett azonosítást (deferred_auth) állítottak be. A támadó meghatározott körülmények között arra kényszerítheti a szervert, hogy visszaküldje a PUSH_REPLY üzenetet a beállításokról. VPN a AUTH_FAILED üzenet küldése előtt. A „—auth-gen-token” paraméter használatával vagy a felhasználó által saját token-alapú azonosítási séma alkalmazásával a sebezhetőség hozzáférést biztosíthat a VPN-hez, inaktív felhasználói fiók használatával.
A biztonsággal nem kapcsolatos változások között kiemelendő a TLS-titkosításokról szóló információk kibővítése, amelyeket a kliens számára szerverrelegyeztettek. Köztük helyes információk kerültek bele a TLS 1.3 és az EC-tanúsítványok támogatásáról. Ezen kívül az OpenVPN indítása során a visszavont tanúsítványok listáját tartalmazó CRL-fájl hiánya most hibaként értékelendő, ami a működés leállításához vezet.
Forrás: opennet.ru
