Er zijn correcties vrijgegeven voor OpenVPN 2.5.6 en 2.4.12, een pakket voor het opzetten van virtuele particuliere netwerken dat het mogelijk maakt om een versleutelde verbinding tussen twee clients op te zetten of om een gecentraliseerde VPN-server te laten draaien voor gelijktijdig gebruik door meerdere clients. De OpenVPN-code is onder GPLv2-licentie beschikbaar, en kant-en-klare binaire pakketten worden samengesteld voor Debian, Ubuntu, CentOS, RHEL en Windows.
In de nieuwe versies is een kwetsbaarheid verholpen die mogelijk de authenticatie zou kunnen omzeilen door manipulatie met externe plugins die de modus voor uitgestelde authenticatie (deferred_auth) ondersteunen. Het probleem doet zich voor wanneer meerdere plugins uitgestelde authenticatiereacties verzenden, waardoor een externe gebruiker toegang kan krijgen op basis van niet volledig correcte inloggegevens. Vanaf de uitgaves OpenVPN 2.5.6 en 2.4.12 zullen pogingen om uitgestelde authenticatie door meerdere plugins te gebruiken leiden tot een foutmelding.
Andere wijzigingen omvatten de toevoeging van een nieuwe plugin sample-plugin/defer/multi-auth.c, die nuttig kan zijn voor het testen van het gelijktijdig gebruik van verschillende authenticatieplugins, om in de toekomst kwetsbaarheden zoals de hierboven besproken te voorkomen. Op het Linux-platform is de optie "—mtu-disc maybe|yes" in werking gesteld. Er is een geheugenlek verholpen in de procedures voor het toevoegen van routes.
Bron: opennet.ru
