De correctie-release OpenVPN 2.5.3 is voorbereid, een pakket voor het opzetten van virtuele privé-netwerken, waarmee een versleutelde verbinding tussen twee client-machines kan worden georganiseerd of een gecentraliseerde VPN-server kan worden opgezet voor gelijktijdig gebruik door meerdere clients. De code van OpenVPN wordt verspreid onder de GPLv2-licentie, en kant-en-klare binaire pakketten worden aangemaakt voor Debian, Ubuntu, CentOS, RHEL en Windows.
In de nieuwe versie is een kwetsbaarheid (CVE-2021-3606) verholpen, die zich alleen voordoet in de op Windows gebaseerde build. Deze kwetsbaarheid maakt het mogelijk om configuratiebestanden van OpenSSL te laden vanuit externe, schrijfbare mappen, waardoor de versleutelingsinstellingen kunnen worden gewijzigd. In de nieuwe versie is de mogelijkheid om configuratiebestanden van OpenSSL te laden volledig uitgeschakeld.
Vanuit niet-beveiligingsgerelateerde wijzigingen valt de toevoeging van de optie "—auth-token-user" op (een alternatief voor "—auth-token", maar zonder het gebruik van "—auth-user-pass"), verbetering van het build-proces voor Windows, betere ondersteuning voor de mbedtls-bibliotheek en een update van de auteursrechtelijke opmerkingen in de code (cosmetische wijzigingen).
Daarnaast kan worden opgemerkt dat Opera zijn VPN heeft uitgeschakeld voor Russische gebruikers op verzoek van Roskomnadzor. Momenteel werkt de VPN-functionaliteit niet meer in beta- en ontwikkelversies van de browser. Roskomnadzor stelt dat de beperkingen nodig zijn voor "reactie op bedreigingen van het omzeilen van beperkingen op toegang tot kinderpornografie, suïcide, drugsgerelateerde en andere verboden inhoud". Naast Opera VPN is de blokkering ook toegepast op de dienst VyprVPN.
Eerder heeft Roskomnadzor waarschuwingen gestuurd naar 10 VPN-diensten met het verzoek om "aansluiting op het staatsinformatie-systeem (FGIS)" voor het blokkeren van toegang tot verboden bronnen in de Russische Federatie, waarbij Opera VPN en VyprVPN tot de betrokkenen behoorden. 9 van de 10 diensten negeerden het verzoek of weigerden samen te werken met Roskomnadzor (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Alleen het product Kaspersky Secure Connection heeft aan de eisen voldaan.
Bron: opennet.ru
