OpenVPN 2.6.7 релизи даярдалды, виртуалдык жеке тармактарды түзүү пакети, эки кардар машинасынын ортосунда шифрленген байланышты уюштурууга же бир нече кардарлардын бир убакта иштеши үчүн борборлоштурулган VPN серверин камсыз кылууга мүмкүндүк берет. Жаңы версия эки кемчиликти оңдойт:
- CVE-2023-46850 - Эстутум аймагына колдонуудан кийин бекер жетүү процесстин эс тутумунун мазмунун туташуунун башка тарабына жөнөтүүгө алып келиши мүмкүн жана коддун алыстан аткарылышына алып келиши мүмкүн. Көйгөй TLS колдонгон конфигурацияларда пайда болот (--secret опциясы жок иштетүү).
- CVE-2023-46849 Нөлгө бөлүү кырдаалы --fragment опциясын колдонгон конфигурацияларда алыстан кирүү серверинин бузулушуна алып келиши мүмкүн.
OpenVPN 2.6.7деги коопсуздукка байланыштуу эмес өзгөрүүлөр:
- OpenVPN 1.x кардарын 2.6-2.4.0 версияларынын негизинде шайкеш келбеген серверлерге туташтырууга аракет кылып жатканда, экинчи тарап DATA_V2.4.4 пакеттерин жөнөткөндө эскертүү кошулду (ийишпестикти жоюу үчүн “--disable-dco” опциясын колдонсоңуз болот) .
- Ачкычтарды жүктөө үчүн OpenSSL Engine колдонгон OpenSSL 1.x менен байланышкан эскирген ыкма алынып салынды. Келтирилген себеп автордун кодду жаңы байланыштыруучу өзгөчөлүктөр менен кайра лицензиялоону каалабагандыгы болуп саналат.
- p2p NCP кардарын туташтырганда эскертүү кошулду сервер p2mp (шифрди сүйлөшүүсүз иштөө үчүн колдонулган айкалыш), анткени туташуунун эки тарабында тең 2.6.x версияларын колдонууда көйгөйлөр бар.
- "--show-groups" желекчеси бардык колдоого алынган топторду көрсөтпөйт деген эскертүү кошулду.
- “—dns” параметринде 2.6 тармагында пайда болгон, бирок али backends тарабынан колдоого алынбаган “чыгаруу-домендер” аргументин иштетүү алынып салынды.
- INFO башкаруу билдирүүсү кардарга жөнөтүү үчүн өтө чоң болсо, көрсөтүлө турган эскертүү кошулду.
- MinGW жана MSVC колдонгон куруулар үчүн CMake куруу тутумунун колдоосу кошулду. Эски MSVC куруу тутумунун колдоосу алынып салынды.
Мындан тышкары, ачык жерде 9 алсыздык аныкталганын белгилей кетүү керек. VPN- SoftEther сервери. Бир көйгөйгө (CVE-2023-27395) критикалык деңгээлдеги оордук берилген — ал буфердин ашып кетишинен келип чыгат жана чабуулчу башкарган серверге туташууга аракет кылганда кардар тарабында коддун алыстан аткарылышына алып келиши мүмкүн. Бул аялуу жер SoftEther VPN 4.42 Build 9798 RTMдин июнь айындагы жаңыртуусунда оңдолгон. Дагы эки аялуу жер (CVE-2023-32634, CVE-2023-27516) RPC сервери үчүн демейки грамоталарды колдонуу менен ортодогу адам чабуулу учурунда VPN сессиясына уруксатсыз кирүүгө мүмкүндүк берет. Аялуу жерлер патч менен оңдолгон.
CVE-2023-31192 жана CVE-2023-32275 (патч) алсыздыктары MITM чабуулдарынын натыйжасында кээ бир пакеттерде жашыруун маалыматтын агып кетишине алып келиши мүмкүн. Калган 4 алсыздык (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 жана CVE-2023-25774) байланышты мажбурлоо же кардардын бузулушу сыяктуу кызмат көрсөтүүдөн баш тартуу үчүн колдонулушу мүмкүн. SoftEther VPN коддук базасы жакында эле 7 кемчиликти оңдоолорду алды, алардын чоо-жайы азырынча жеткиликтүү эмес.
Source: opennet.ru
