ອັບເດດ OpenVPN 2.5.2 ແລະ 2.4.11 ພ້ອມກັບການແກ້ໄຂຊ່ອງໂຫວ່

ການແກ້ໄຂການແກ້ໄຂຂອງ OpenVPN 2.5.2 ແລະ 2.4.11 ໄດ້ຖືກກະກຽມ, ຊຸດສໍາລັບການສ້າງເຄືອຂ່າຍສ່ວນຕົວ virtual ທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດຈັດການການເຊື່ອມຕໍ່ແບບເຂົ້າລະຫັດລະຫວ່າງສອງເຄື່ອງລູກຄ້າຫຼືສະຫນອງເຄື່ອງແມ່ຂ່າຍ VPN ສູນກາງສໍາລັບການດໍາເນີນງານພ້ອມກັນຂອງລູກຄ້າຈໍານວນຫນຶ່ງ. ລະຫັດ OpenVPN ຖືກແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ GPLv2, ແພັກເກດຄູ່ທີ່ກຽມພ້ອມແມ່ນຖືກສ້າງຂຶ້ນສໍາລັບ Debian, Ubuntu, CentOS, RHEL ແລະ Windows.

ລຸ້ນໃໝ່ແກ້ໄຂຊ່ອງໂຫວ່ (CVE-2020-15078) ທີ່ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີທາງໄກສາມາດຂ້າມຜ່ານການພິສູດຢືນຢັນ ແລະຂໍ້ຈຳກັດການເຂົ້າເຖິງເພື່ອຮົ່ວໄຫຼການຕັ້ງຄ່າ VPN. ບັນຫາປາກົດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍທີ່ຖືກກໍານົດໃຫ້ໃຊ້ deferred_auth ເທົ່ານັ້ນ. ພາຍໃຕ້ບາງກໍລະນີ, ຜູ້ໂຈມຕີສາມາດບັງຄັບໃຫ້ເຊີບເວີສົ່ງຄືນຂໍ້ຄວາມ PUSH_REPLY ທີ່ມີຂໍ້ມູນກ່ຽວກັບການຕັ້ງຄ່າ VPN ກ່ອນທີ່ຈະສົ່ງຂໍ້ຄວາມ AUTH_FAILED. ເມື່ອລວມເຂົ້າກັບການໃຊ້ພາລາມິເຕີ --auth-gen-token ຫຼືການໃຊ້ລະບົບການພິສູດຢືນຢັນຕົວຕົນທີ່ອີງໃສ່ token ຂອງຜູ້ໃຊ້, ຊ່ອງໂຫວ່ສາມາດສົ່ງຜົນໃຫ້ບາງຄົນເຂົ້າເຖິງ VPN ໂດຍໃຊ້ບັນຊີທີ່ບໍ່ເຮັດວຽກ.

ໃນບັນດາການປ່ຽນແປງທີ່ບໍ່ແມ່ນຄວາມປອດໄພ, ມີການຂະຫຍາຍການສະແດງຂໍ້ມູນກ່ຽວກັບຕົວເຂົ້າລະຫັດ TLS ທີ່ຕົກລົງທີ່ຈະໃຊ້ໂດຍລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ. ລວມທັງຂໍ້ມູນທີ່ຖືກຕ້ອງກ່ຽວກັບການສະຫນັບສະຫນູນ TLS 1.3 ແລະໃບຢັ້ງຢືນ EC. ນອກຈາກນັ້ນ, ການຂາດໄຟລ໌ CRL ທີ່ມີບັນຊີລາຍຊື່ການຖອນໃບຢັ້ງຢືນໃນລະຫວ່າງການເລີ່ມຕົ້ນ OpenVPN ປະຈຸບັນຖືກຖືວ່າເປັນຄວາມຜິດພາດທີ່ນໍາໄປສູ່ການຢຸດເຊົາ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru