ഓപ്പൺവിപിഎൻ 2.5.2, 2.4.11 എന്നിവ അപകടസാധ്യത പരിഹരിക്കുന്നതിനൊപ്പം അപ്ഡേറ്റ് ചെയ്യുക

ഓപ്പൺവിപിഎൻ 2.5.2, 2.4.11 എന്നിവയുടെ തിരുത്തൽ റിലീസുകൾ തയ്യാറാക്കിയിട്ടുണ്ട്, രണ്ട് ക്ലയന്റ് മെഷീനുകൾക്കിടയിൽ ഒരു എൻക്രിപ്റ്റ് ചെയ്ത കണക്ഷൻ ഓർഗനൈസുചെയ്യാനോ നിരവധി ക്ലയന്റുകളുടെ ഒരേസമയം പ്രവർത്തനത്തിനായി ഒരു കേന്ദ്രീകൃത VPN സെർവർ നൽകാനോ നിങ്ങളെ അനുവദിക്കുന്ന വെർച്വൽ പ്രൈവറ്റ് നെറ്റ്‌വർക്കുകൾ സൃഷ്ടിക്കുന്നതിനുള്ള ഒരു പാക്കേജ്. OpenVPN കോഡ് GPLv2 ലൈസൻസിന് കീഴിലാണ് വിതരണം ചെയ്യുന്നത്, Debian, Ubuntu, CentOS, RHEL, Windows എന്നിവയ്ക്കായി റെഡിമെയ്ഡ് ബൈനറി പാക്കേജുകൾ സൃഷ്ടിക്കപ്പെടുന്നു.

പുതിയ റിലീസുകൾ ഒരു അപകടസാധ്യത പരിഹരിക്കുന്നു (CVE-2020-15078), അത് വിദൂര ആക്രമണകാരിയെ പ്രാമാണീകരണം മറികടക്കാനും VPN ക്രമീകരണങ്ങൾ ചോർത്താനുള്ള ആക്‌സസ് നിയന്ത്രണങ്ങൾ മറികടക്കാനും അനുവദിക്കുന്നു. deferred_auth ഉപയോഗിക്കാൻ കോൺഫിഗർ ചെയ്‌ത സെർവറുകളിൽ മാത്രമേ പ്രശ്‌നം ദൃശ്യമാകൂ. ചില പ്രത്യേക സാഹചര്യങ്ങളിൽ, AUTH_FAILED സന്ദേശം അയയ്‌ക്കുന്നതിന് മുമ്പ് VPN ക്രമീകരണങ്ങളെക്കുറിച്ചുള്ള ഡാറ്റ സഹിതം ഒരു PUSH_REPLY സന്ദേശം നൽകാൻ ഒരു ആക്രമണകാരിക്ക് സെർവറിനെ നിർബന്ധിക്കാനാകും. --auth-gen-token പാരാമീറ്റർ അല്ലെങ്കിൽ ഉപയോക്താവിന്റെ സ്വന്തം ടോക്കൺ അധിഷ്‌ഠിത പ്രാമാണീകരണ സ്‌കീമിന്റെ ഉപയോഗം എന്നിവയുമായി സംയോജിപ്പിക്കുമ്പോൾ, ഒരു നോൺ-വർക്കിംഗ് അക്കൗണ്ട് ഉപയോഗിച്ച് ആരെങ്കിലും VPN-ലേക്ക് ആക്‌സസ് നേടുന്നതിന് ഈ അപകടസാധ്യത കാരണമാകാം.

സുരക്ഷിതമല്ലാത്ത മാറ്റങ്ങളിൽ, ക്ലയന്റും സെർവറും ഉപയോഗിക്കുന്നതിന് സമ്മതിച്ചിട്ടുള്ള TLS സൈഫറുകളെക്കുറിച്ചുള്ള വിവരങ്ങളുടെ ഡിസ്പ്ലേയുടെ ഒരു വിപുലീകരണമുണ്ട്. TLS 1.3, EC സർട്ടിഫിക്കറ്റുകൾക്കുള്ള പിന്തുണയെക്കുറിച്ചുള്ള ശരിയായ വിവരങ്ങൾ ഉൾപ്പെടെ. കൂടാതെ, OpenVPN സ്റ്റാർട്ടപ്പ് സമയത്ത് സർട്ടിഫിക്കറ്റ് അസാധുവാക്കൽ ലിസ്റ്റുള്ള ഒരു CRL ഫയലിന്റെ അഭാവം ഇപ്പോൾ അവസാനിപ്പിക്കുന്നതിലേക്ക് നയിക്കുന്ന ഒരു പിശകായി കണക്കാക്കുന്നു.

അവലംബം: opennet.ru