Sono stati preparati gli aggiornamenti correttivi per OpenVPN 2.5.2 e 2.4.11, un pacchetto per la creazione di reti private virtuali che consente di stabilire una connessione crittografata tra due macchine client o di gestire un server VPN centralizzato per l'uso simultaneo di più client. Il codice di OpenVPN è distribuito con licenza GPLv2, e i pacchetti binari sono disponibili per Debian, Ubuntu, CentOS, RHEL e Windows.
Nei nuovi rilasci è stata risolta una vulnerabilità (CVE-2020-15078) che consente a un attaccante remoto di bypassare l'autenticazione e le restrizioni di accesso, causando la fuoriuscita dei dati di configurazione della VPN. Il problema si verifica solo su server configurati per utilizzare l'autenticazione differita (deferred_auth). Sotto certe circostanze, l'attaccante può costringere il server a restituire un messaggio PUSH_REPLY con le informazioni di configurazione VPN prima di inviare il messaggio AUTH_FAILED. In combinazione con l'uso del parametro «—auth-gen-token» o con l'applicazione di un proprio schema di autenticazione basato su token da parte dell'utente, la vulnerabilità può portare all'accesso alla VPN utilizzando un account non funzionante.
Tra le modifiche non relative alla sicurezza, si segnala l'ampliamento delle informazioni sui cipher TLS concordati per l'uso da parte del cliente e server. Sono state aggiunte informazioni corrette sul supporto per TLS 1.3 e certificati EC. Inoltre, l'assenza di un file CRL con l'elenco dei certificati revocati durante l'avvio di OpenVPN è ora considerata un errore che porta all'interruzione del servizio.
Fonte: opennet.ru
