취약점 수정이 포함된 OpenVPN 2.5.6 및 2.4.12 출시

OpenVPN 2.5.6 및 2.4.12의 수정 릴리스가 준비되었습니다. 이 패키지는 두 클라이언트 시스템 간의 암호화된 연결을 구성하거나 여러 클라이언트의 동시 작동을 위한 중앙 집중식 VPN 서버를 제공할 수 있는 가상 사설망 생성용 패키지입니다. OpenVPN 코드는 GPLv2 라이센스에 따라 배포되며 Debian, Ubuntu, CentOS, RHEL 및 Windows용으로 미리 만들어진 바이너리 패키지가 생성됩니다.

새 버전에서는 지연 인증 모드(deferred_auth)를 지원하는 외부 플러그인을 조작하여 잠재적으로 인증을 우회할 수 있는 취약점이 제거되었습니다. 이 문제는 여러 플러그인이 지연된 인증 응답을 보낼 때 발생하며, 이로 인해 외부 사용자가 불완전하게 올바른 자격 증명을 기반으로 액세스 권한을 얻을 수 있습니다. OpenVPN 2.5.6 및 2.4.12부터 여러 플러그인으로 지연된 인증을 사용하려고 하면 오류가 발생합니다.

다른 변경 사항에는 위에서 설명한 것과 유사한 취약점을 추가로 방지하기 위해 다양한 인증 플러그인의 동시 사용 테스트를 구성하는 데 유용할 수 있는 새로운 플러그인 Sample-plugin/defer/multi-auth.c가 포함됩니다. Linux 플랫폼에서는 "--mtu-disc might|yes" 옵션이 작동합니다. 경로 추가 절차에서 메모리 누수가 수정되었습니다.

출처 : opennet.ru