문제 OpenVPN 취약점 수정 사항이 포함된 2.5.6 및 2.4.12 버전

수정 릴리스가 준비되었습니다. OpenVPN 2.5.6 및 2.4.12 버전은 가상 사설망(VPN)을 생성하는 패키지로, 두 클라이언트 컴퓨터 간에 암호화된 연결을 구성하거나 여러 클라이언트가 동시에 작동할 수 있도록 중앙 집중식 VPN 서버를 제공할 수 있습니다. OpenVPN GPLv2 라이선스에 따라 배포되며, 바로 사용할 수 있는 바이너리 패키지가 생성됩니다. Debian, Ubuntu, CentOSRHEL 및 Windows.

새 버전에서는 지연 인증(deferred_auth)을 지원하는 외부 플러그인을 조작하여 인증을 우회할 수 있는 취약점을 해결합니다. 이 문제는 여러 플러그인이 지연 인증 응답을 보낼 때 발생하며, 외부 사용자가 불완전한 자격 증명을 사용하여 접근 권한을 얻을 수 있도록 합니다. 해당 문제는 특정 릴리스부터 해결됩니다. OpenVPN 2.5.6 및 2.4.12 버전에서 여러 플러그인이 지연 인증을 사용하려고 하면 오류가 발생합니다.

다른 변경 사항으로는 새로운 sample-plugin/defer/multi-auth.c 플러그인이 추가되었는데, 이는 위에서 논의된 것과 유사한 취약점을 방지하기 위해 여러 인증 플러그인을 동시에 사용하는 것을 테스트하는 데 유용할 수 있습니다. Linux "--mtu-disc maybe|yes" 옵션이 개선되었습니다. 경로 추가 절차에서 발생하던 메모리 누수 문제가 수정되었습니다.

출처 : opennet.ru