Release van OpenVPN 2.6.7 is voorbereid, een pakket voor het opzetten van virtuele privénetwerken dat het mogelijk maakt om een versleutelde verbinding tussen twee clientmachines te regelen of een gecentraliseerde VPN-server te laten functioneren voor gelijktijdig gebruik door meerdere clients. In de nieuwe versie zijn twee kwetsbaarheden verholpen:
- CVE-2023-46850 — Toegang tot een geheugengebied na het vrijgeven (use-after-free) kan leiden tot het verzenden van inhoud van het procesgeheugen naar de andere kant van de verbinding, en potentieel tot het uitvoeren van code op afstand. Het probleem doet zich voor in configuraties die TLS gebruiken (uitgevoerd zonder de parameter "—secret").
- CVE-2023-46849 — Het ontstaan van een deling door nul kan leiden tot een op afstand geïnitieerde crash van de toegangserver in configuraties die de optie "—fragment" gebruiken.
Wat betreft niet-beveiligingsgerelateerde wijzigingen in OpenVPN 2.6.7:
- Een waarschuwing is toegevoegd bij het verzenden van DATA_V1-pakketten door de andere kant wanneer een OpenVPN 2.6.x-client probeert verbinding te maken met incompatibele servers gebaseerd op versies 2.4.0-2.4.4 (om incompatibiliteit te verhelpen, kan de optie "—disable-dco" worden gebruikt).
- De verouderde methode gekoppeld aan OpenSSL 1.x, die OpenSSL Engine gebruikt om sleutels te laden, is verwijderd. De reden hiervoor is de weigering van de auteur om de code met nieuwe uitzonderingen voor binding opnieuw te licentiëren.
- Een waarschuwing is toegevoegd bij het verbinden van de p2p NCP-client met server p2mp (een combinatie die wordt gebruikt voor werking zonder coderingsovereenstemming), aangezien er problemen zijn bij het gebruik van versies 2.6.x aan beide zijden van de verbinding.
- Een waarschuwing is toegevoegd dat de vlag "—show-groups" niet alle ondersteunde groepen weergeeft.
- In de parameter "—dns" is de verwerking van het argument "exclude-domains" verwijderd, dat is toegevoegd in de 2.6-tak, maar momenteel nog niet door backends wordt ondersteund.
- Een waarschuwing is toegevoegd die wordt weergegeven als een controlebericht INFO te groot is en niet naar de client kan worden doorgestuurd.
- Voor builds die gebruik maken van MinGW en MSVC is ondersteuning voor het buildsysteem CMake toegevoegd. Ondersteuning voor het oude buildsysteem MSVC is verwijderd.
Daarnaast kan worden opgemerkt dat er 9 kwetsbaarheden zijn ontdekt in de open-source software. VPN-server SoftEther. Een van de problemen (CVE-2023-27395) is geclassificeerd met een kritisch risiconiveau — de kwetsbaarheid wordt veroorzaakt door een buffer-overloop en kan leiden tot het uitvoeren van kwaadaardige code aan de zijde van de client, wanneer geprobeerd wordt verbinding te maken met een server die door een aanvaller wordt gecontroleerd. De kwetsbaarheid is verholpen in de juni-update van SoftEther VPN 4.42 Build 9798 RTM. Nog twee kwetsbaarheden (CVE-2023-32634, CVE-2023-27516) bieden de mogelijkheid tot ongeoorloofd toegang tot een VPN-sessie tijdens een MITM-aanval door gebruik te maken van de standaard inloggegevens voor de RPC-server. De kwetsbaarheden zijn verholpen in de vorm van een patch.
De kwetsbaarheden CVE-2023-31192 en CVE-2023-32275 (patch) kunnen leiden tot het uitlekken van vertrouwelijke informatie in bepaalde pakketten als gevolg van MITM-aanvallen. De resterende 4 kwetsbaarheden (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 en CVE-2023-25774) kunnen worden gebruikt voor het veroorzaken van een denial-of-service, bijvoorbeeld door een gedwongen verbroken verbinding of het geforceerd afsluiten van de client. Recent is er ook een fix voor 7 kwetsbaarheden in de codebase van SoftEther VPN geïmplementeerd, waarvan de details nog niet bekend zijn.
Bron: opennet.ru
