È stata rilasciata la versione OpenVPN 2.6.7, un pacchetto per la creazione di reti private virtuali che consente di stabilire una connessione crittografata tra due macchine client o di attivare un server VPN centralizzato per consentire il lavoro contemporaneo di più client. Nella nuova versione sono state corrette due vulnerabilità:
- CVE-2023-46850 — l'accesso a una zona di memoria dopo che è stata liberata (use-after-free) può portare all'invio di contenuto della memoria del processo all'altra estremità della connessione, con la potenziale possibilità di eseguire codice in remoto. Il problema si verifica in configurazioni che utilizzano TLS (eseguite senza il parametro "—secret").
- CVE-2023-46849 — si verifica una situazione di divisione per zero che può portare a un arresto anomalo del server di accesso avviato in remoto in configurazioni che utilizzano l'opzione "—fragment".
Tra le modifiche non relative alla sicurezza in OpenVPN 2.6.7:
- È stato aggiunto un avviso durante l'invio di pacchetti DATA_V1 da parte di un'altra parte quando un client OpenVPN 2.6.x tenta di connettersi a server incompatibili basati sulle versioni 2.4.0-2.4.4 (per risolvere l'incompatibilità è possibile usare l'opzione "—disable-dco").
- È stato rimosso il vecchio metodo legato a OpenSSL 1.x che utilizza OpenSSL Engine per il caricamento delle chiavi. La ragione è stata la riluttanza dell'autore a ri-licenziare il codice con le nuove eccezioni di binding.
- È stato aggiunto un avviso durante la connessione di un client p2p NCP a server p2mp (una combinazione utilizzata per il funzionamento senza negoziazione dei cipher), poiché ci sono problemi nell'utilizzo delle versioni 2.6.x su entrambe le estremità della connessione.
- È stato aggiunto un avviso che indica che il flag "—show-groups" non visualizza tutti i gruppi supportati.
- Nell'opzione "—dns" è stata rimossa la gestione dell'argomento "exclude-domains", introdotto nella branch 2.6, ma ancora non supportato dai backend.
- È stato aggiunto un avviso che viene mostrato se il messaggio di controllo INFO ha dimensioni eccessive e non può essere reindirizzato al client.
- Per le build utilizzando MinGW e MSVC è stata aggiunta la supporto per il sistema di build CMake. È stata rimossa la supporto per il vecchio sistema di build MSVC.
Inoltre, sono state rilevate 9 vulnerabilità nel server pubblico VPN-SoftEther. Una delle problematiche (CVE-2023-27395) è stata classificata come critica — la vulnerabilità è causata da un overflow di buffer e può portare all'esecuzione remota di codice sul client quando si tenta di connettersi a un server controllato da un malintenzionato. La vulnerabilità è stata corretta nell'aggiornamento di giugno di SoftEther VPN 4.42 Build 9798 RTM. Ulteriori due vulnerabilità (CVE-2023-32634, CVE-2023-27516) consentono di ottenere accesso non autorizzato a una sessione VPN durante un attacco MITM tramite l'uso di credenziali predefinite per il server RPC. Le vulnerabilità sono state corrette tramite un patch.
Le vulnerabilità CVE-2023-31192 e CVE-2023-32275 (patch) possono portare a una fuga di informazioni riservate in alcuni pacchetti a seguito di attacchi MITM. Le restanti 4 vulnerabilità (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 e CVE-2023-25774) possono essere sfruttate per causare indisponibilità, come la disconnessione forzata o l'arresto anomalo del client. Recentemente è stato anche accettato nella base di codice di SoftEther VPN un fix per 7 vulnerabilità, i dettagli delle quali non sono ancora disponibili.
Fonte: opennet.ru
