ធ្វើបច្ចុប្បន្នភាព OpenVPN 2.5.2 និង 2.4.11 ជាមួយនឹងការជួសជុលភាពងាយរងគ្រោះ

ការចេញផ្សាយកែតម្រូវត្រូវបានរៀបចំ OpenVPN 2.5.2 និង 2.4.11 ដែលជាកញ្ចប់សម្រាប់បង្កើតបណ្តាញឯកជននិម្មិត ដែលអនុញ្ញាតឱ្យអ្នករៀបចំការតភ្ជាប់ដែលបានអ៊ិនគ្រីបរវាងម៉ាស៊ីនអតិថិជនពីរ ឬផ្តល់ម៉ាស៊ីនមេ VPN កណ្តាលសម្រាប់ប្រតិបត្តិការអតិថិជនជាច្រើនក្នុងពេលដំណាលគ្នា។ កូដ OpenVPN ចែកចាយក្រោមអាជ្ញាប័ណ្ណ GPLv2 កញ្ចប់ប្រព័ន្ធគោលពីរដែលត្រៀមរួចជាស្រេចត្រូវបានបង្កើតសម្រាប់ Debian, Ubuntu, CentOS, RHEL និង Windows.

ការចេញផ្សាយថ្មីនេះជួសជុលភាពងាយរងគ្រោះមួយ (CVE-2020-15078) ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារពីចម្ងាយរំលងការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងចូលប្រើការរឹតបន្តឹងដើម្បីលេចធ្លាយការកំណត់ VPN។ បញ្ហានេះប៉ះពាល់តែម៉ាស៊ីនមេដែលត្រូវបានកំណត់រចនាសម្ព័ន្ធដើម្បីប្រើការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដែលពន្យារពេល (deferred_auth) ប៉ុណ្ណោះ។ ក្នុងកាលៈទេសៈជាក់លាក់ អ្នកវាយប្រហារអាចបង្ខំម៉ាស៊ីនមេឱ្យប្រគល់សារ PUSH_REPLY ដែលមានការកំណត់។ VPN មុនពេលផ្ញើសារ AUTH_FAILED។ នៅពេលដែលផ្សំជាមួយប៉ារ៉ាម៉ែត្រ "--auth-gen-token" ឬគ្រោងការណ៍ផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដែលមានមូលដ្ឋានលើថូខឹនផ្ទាល់ខ្លួនរបស់អ្នកប្រើប្រាស់ ភាពងាយរងគ្រោះអាចនាំឱ្យមានការចូលប្រើ VPN ដោយប្រើគណនីមិនដំណើរការ។

ក្នុងចំណោមការផ្លាស់ប្តូរមិនមែនសុវត្ថិភាព លទ្ធផលនៃព័ត៌មានអំពីលេខកូដសម្ងាត់ TLS ដែលបានព្រមព្រៀងគ្នាសម្រាប់ការប្រើប្រាស់ដោយអតិថិជនត្រូវបានពង្រីក និង ម៉ាស៊ីនមេនេះរួមបញ្ចូលទាំងព័ត៌មានត្រឹមត្រូវអំពីការគាំទ្រវិញ្ញាបនបត្រ TLS 1.3 និង EC។ លើសពីនេះ ឯកសារ CRL ដែលមានបញ្ជីវិញ្ញាបនបត្រដែលត្រូវបានលុបចោលបានបាត់ក្នុងអំឡុងពេលចាប់ផ្តើម។ OpenVPN ឥឡូវនេះត្រូវបានចាត់ទុកថាជាកំហុសដែលបណ្តាលឱ្យមានការបញ្ចប់ការងារ។

ប្រភព: opennet.ru