Corrigerende versies van OpenVPN 2.5.2 en 2.4.11 zijn voorbereid, pakketten voor het creëren van virtuele privé-netwerken die een versleutelde verbinding tussen twee clientmachines mogelijk maken of de werking van een gecentraliseerde VPN-server voor gelijktijdig gebruik door meerdere klanten ondersteunen. De code van OpenVPN wordt verspreid onder de GPLv2-licentie, kant-en-klare binaire pakketten worden opgesteld voor Debian, Ubuntu, CentOS, RHEL en Windows.
In de nieuwe versies is een kwetsbaarheid (CVE-2020-15078) verholpen, waardoor een externe aanvaller de authentificatie en toegangslimieten kan omzeilen om gegevens over VPN-instellingen te lekken. Het probleem doet zich alleen voor op servers waar uitgestelde authenticatie (deferred_auth) is ingesteld. Een aanvaller kan onder bepaalde omstandigheden de server dwingen om een PUSH_REPLY-bericht met configuratiegegevens te retourneren. VPN totdat het AUTH_FAILED-bericht wordt verzonden. In combinatie met het gebruik van de parameter "—auth-gen-token" of de toepassing door de gebruiker van een eigen authenticatieschema op basis van tokens, kan de kwetsbaarheid leiden tot toegang tot de VPN met een niet-werkend account.
Van de niet-beveiligingsgerelateerde wijzigingen is het uitbreiden van de uitvoer van informatie over de TLS-codes die zijn overeengekomen voor gebruik door de client opgemerkt en server. Daaronder zijn correcte gegevens over ondersteuning voor TLS 1.3 en EC-certificaten toegevoegd. Bovendien wordt het ontbreken van een CRL-bestand met een lijst van ingetrokken certificaten tijdens het opstarten van OpenVPN nu geïnterpreteerd als een fout die leidt tot afsluiting.
Bron: opennet.ru
