È stata rilasciata una versione correttiva di OpenVPN 2.5.3, il pacchetto per la creazione di reti private virtuali che consente di organizzare una connessione crittografata tra due macchine client o di gestire un server VPN centralizzato per consentire il funzionamento simultaneo di più client. Il codice di OpenVPN è distribuito con licenza GPLv2, i pacchetti binari pronti vengono generati per Debian, Ubuntu, CentOS, RHEL e Windows.
Nella nuova versione è stata corretta una vulnerabilità (CVE-2021-3606) che si manifesta solo nella build per la piattaforma Windows. La vulnerabilità consente di caricare file di configurazione OpenSSL da directory esterne scrivibili per modificare le impostazioni di crittografia. Nella nuova versione il caricamento dei file di configurazione OpenSSL è completamente disabilitato.
Tra le modifiche non correlate alla sicurezza, si segnala l'aggiunta dell'opzione "—auth-token-user" (simile all'"—auth-token", ma senza applicare l'"—auth-user-pass"), il miglioramento del processo di compilazione per Windows, il miglioramento del supporto per la libreria mbedtls e l'aggiornamento delle note sui diritti d'autore nel codice (modifiche cosmetiche).
In aggiunta si segnala la disattivazione da parte di Opera del suo VPN per gli utenti russi su richiesta di Roskomnadzor. Attualmente la funzionalità VPN ha smesso di funzionare nelle versioni beta e developer del browser. Roskomnadzor afferma che le restrizioni sono necessarie per "rispondere alle minacce di elusione delle restrizioni di accesso a contenuti proibiti come pornografia infantile, contenuti suicidi, pro-droga e altro". Oltre a Opera VPN, il blocco è stato applicato anche al servizio VyprVPN.
In precedenza, Roskomnadzor aveva inviato avvisi a 10 servizi VPN con la richiesta di "collegamento al sistema informativo statale (FGIS)" per bloccare l'accesso a risorse vietate in RF, Opera VPN e VyprVPN erano tra di loro. 9 dei 10 servizi hanno ignorato la richiesta o si sono rifiutati di collaborare con Roskomnadzor (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Solo il prodotto Kaspersky Secure Connection ha rispettato i requisiti.
Fonte: opennet.ru
