Sono stati preparati gli aggiornamenti correttivi per OpenVPN 2.5.2 e 2.4.11, un pacchetto per la creazione di reti private virtuali che consente di stabilire una connessione crittografata tra due client o di gestire un server VPN centralizzato per l'accesso simultaneo di più client. Il codice OpenVPN è distribuito sotto licenza GPLv2, i pacchetti binari pronti vengono generati per Debian, Ubuntu, CentOS, RHEL e Windows.
Nei nuovi rilasci è stata risolta una vulnerabilità (CVE-2020-15078) che consente a un attaccante remoto di eludere l'autenticazione e le restrizioni di accesso, causando la fuga di dati sulle impostazioni VPN. Il problema si verifica solo sui server configurati per utilizzare l'autenticazione differita (deferred_auth). Sotto determinate circostanze, l'attaccante può costringere il server a restituire un messaggio PUSH_REPLY con i dettagli delle impostazioni VPN Fino all'invio del messaggio AUTH_FAILED. In combinazione con l'uso del parametro «—auth-gen-token» o l'applicazione da parte dell'utente di un proprio schema di autenticazione basato su token, la vulnerabilità può portare all'accesso alla VPN utilizzando un'account non funzionante.
Tra le modifiche non relative alla sicurezza, si segnala un ampliamento delle informazioni sui cifrari TLS concordati per l'utilizzo da parte del client e server. Sono state aggiunte informazioni corrette sul supporto per TLS 1.3 e certificati EC. Inoltre, l'assenza di un file CRL contenente l'elenco dei certificati revocati al momento dell'avvio di OpenVPN ora è considerata un errore che porta all'interruzione dell'esecuzione.
Fonte: opennet.ru
