È stata rilasciata la versione OpenVPN 2.6.7, un pacchetto per la creazione di reti private virtuali, che consente di stabilire una connessione crittografata tra due macchine client o di fornire un server VPN centralizzato per il funzionamento simultaneo di più client. Nella nuova versione sono state risolte due vulnerabilità:
- CVE-2023-46850 — l'accesso a un'area di memoria dopo che è stata liberata (use-after-free) può portare all'invio di contenuti della memoria del processo all'altra estremità della connessione, e potenzialmente all'esecuzione remota di codice. Il problema si manifesta in configurazioni che utilizzano TLS (eseguite senza il parametro "—secret").
- CVE-2023-46849 — la situazione di divisione per zero può portare all'inizializzazione remota dell'interruzione del server di accesso in configurazioni che utilizzano l'opzione "—fragment".
Tra le modifiche non relative alla sicurezza in OpenVPN 2.6.7:
- È stato aggiunto un avviso quando l'altra parte invia pacchetti DATA_V1 mentre un client OpenVPN 2.6.x tenta di connettersi a server incompatibili basati sulle versioni 2.4.0-2.4.4 (per risolvere l'incompatibilità è possibile utilizzare l'opzione "—disable-dco").
- È stato rimosso il metodo obsoleto legato a OpenSSL 1.x, che utilizzava OpenSSL Engine per caricare chiavi. Tra le motivazioni si cita il rifiuto dell'autore di ri-licenziare il codice con nuove eccezioni per il binding.
- È stato aggiunto un avviso quando un client p2p NCP si connette a server p2mp (combinazione utilizzata per funzionare senza l'accordo sui cifrari), poiché ci sono problemi nell'utilizzo delle versioni 2.6.x su entrambe le estremità della connessione.
- È stato aggiunto un avviso che indica che il flag "—show-groups" non mostra tutti i gruppi supportati.
- Nell'opzione "—dns" è stata rimossa la gestione dell'argomento "exclude-domains", apparso nel ramo 2.6, ma attualmente non supportato dai backend.
- È stato aggiunto un avviso che viene mostrato se il messaggio di controllo INFO è troppo grande e non può essere inoltrato al client.
- Per le build che utilizzano MinGW e MSVC è stato aggiunto il supporto per il sistema di build CMake. È stato rimosso il supporto per il vecchio sistema di build MSVC.
Inoltre, si segnalano 9 vulnerabilità identificate nel software open source VPN-server SoftEther. Uno dei problemi (CVE-2023-27395) è stato assegnato un livello critico di pericolo: la vulnerabilità è causata da un overflow del buffer e può portare all'esecuzione remota di codice sul lato client, quando si tenta di connettersi a un server controllato da un attaccante. La vulnerabilità è stata risolta nell'aggiornamento di giugno di SoftEther VPN 4.42 Build 9798 RTM. Altre due vulnerabilità (CVE-2023-32634, CVE-2023-27516) consentono di ottenere accesso non autorizzato a una sessione VPN durante un attacco MITM utilizzando le credenziali predefinite per il server RPC. Le vulnerabilità sono state risolte tramite un patch.
Le vulnerabilità CVE-2023-31192 e CVE-2023-32275 (patch) possono portare a una fuga di informazioni riservate in alcuni pacchetti a seguito di attacchi MITM. Le rimanenti 4 vulnerabilità (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 e CVE-2023-25774) possono essere sfruttate per causare denial of service, ad esempio per forzare la disconnessione o il crash del client. Recentemente è stata accettata nella base di codice di SoftEther VPN la correzione di 7 vulnerabilità, di cui non ci sono ancora dettagli.
Fonte: opennet.ru
