Elkészült az OpenVPN 2.6.7 kiadása, a virtuális magánhálózatok létrehozására szolgáló csomag, amely lehetővé teszi két kliens gép közötti titkosított kapcsolat megszervezését vagy központi VPN szerver biztosítását több kliens egyidejű működéséhez. Az új verzió két sebezhetőséget javít ki:
- CVE-2023-46850 - A memóriaterülethez való szabad használat utáni használat azt eredményezheti, hogy a folyamat memóriájának tartalma a kapcsolat másik oldalára kerül, és ez távoli kódvégrehajtáshoz vezethet. A probléma a TLS-t használó konfigurációkban jelentkezik (a --secret paraméter nélkül fut).
- CVE-2023-46849 A nullával osztás helyzet a távelérési kiszolgáló összeomlásához vezethet a --fragment beállítást használó konfigurációkban.
Nem biztonsági változtatások az OpenVPN 2.6.7-ben:
- Figyelmeztetés hozzáadva, amikor a másik fél DATA_V1 csomagokat küld, amikor egy OpenVPN 2.6.x klienst próbál csatlakozni nem kompatibilis szerverekhez a 2.4.0-2.4.4 verziók alapján (az inkompatibilitás kiküszöbölésére használhatja a „--disable-dco” opciót) .
- Eltávolítottunk egy, az OpenSSL 1.x-hez kötődő elavult módszert, amely az OpenSSL Engine-t használja a kulcsok betöltésére. Az idézett ok a szerző vonakodása a kód újbóli engedélyezésétől az új hivatkozási kivételekkel.
- Figyelmeztetés hozzáadva p2p NCP kliens csatlakoztatásakor szerver p2mp (egy olyan kombináció, amely titkosítási egyeztetés nélkül működik), mivel problémák merülnek fel a 2.6.x verziók használatakor a kapcsolat mindkét oldalán.
- Figyelmeztetés hozzáadva, hogy a "--show-groups" jelző nem jeleníti meg az összes támogatott csoportot.
- A „—dns” paraméterben a 2.6-os ágban megjelent, de a háttérprogramok által még nem támogatott „exclude-domains” argumentum feldolgozása el lett távolítva.
- Figyelmeztetés hozzáadva, ha az INFO vezérlőüzenet túl nagy ahhoz, hogy továbbítsa a kliensnek.
- A MinGW-t és MSVC-t használó buildekhez hozzáadásra került a CMake build rendszer támogatása. Eltávolítottuk a régi MSVC build rendszer támogatását.
Ezenkívül érdemes megjegyezni 9 nyílt sebezhetőség azonosítását is. VPN- SoftEther szerver. Az egyik hibához (CVE-2023-27395) kritikus súlyossági szintet rendeltek – puffer túlcsordulás okozza, és távoli kódfuttatást eredményezhet a kliens oldalon, amikor a támadó által vezérelt szerverhez próbálnak csatlakozni. A sebezhetőséget a SoftEther VPN 4.42 Build 9798 RTM júniusi frissítésében javították. További két sebezhetőség (CVE-2023-32634 és CVE-2023-27516) lehetővé teszi a VPN-munkamenethez való jogosulatlan hozzáférést egy közbeékelődéses támadás során az RPC-szerver alapértelmezett hitelesítő adatainak használatával. Ezeket a sebezhetőségeket javították.
A CVE-2023-31192 és CVE-2023-32275 (javítás) biztonsági rések bizonyos csomagokban bizalmas információk kiszivárgásához vezethetnek MITM-támadások következtében. A fennmaradó 4 sebezhetőség (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 és CVE-2023-25774) szolgáltatásmegtagadást idézhet elő, például kapcsolat kényszerítésére vagy egy ügyfél összeomlására. A SoftEther VPN kódbázisa nemrégiben 7 sebezhetőségre is kapott javításokat, amelyek részletei egyelőre nem elérhetők.
Forrás: opennet.ru
