De release van OpenVPN 2.6.13, een pakket voor het opzetten van virtuele privé-netwerken, is gepubliceerd. Deze versie maakt een versleutelde verbinding tussen twee clientmachines mogelijk of biedt de functionaliteit van een gecentraliseerde VPN-server voor gelijktijdige werking van meerdere clients. In deze nieuwe versie is een beveiligingsprobleem opgelost dat leidde tot een bufferoverloop aan de serverzijde van OpenVPN wanneer een client een gebruikersnaam of wachtwoord met een lengte groter dan USER_PASS_LEN verzond. De CVE-identificatienummer voor deze kwetsbaarheid is nog niet toegewezen en het is onduidelijk in hoeverre het probleem vatbaar is voor het creëren van werkende exploits.
Vanuit niet-beveiligingsgerelateerde wijzigingen kunnen we het volgende opmerken:
- De mogelijkheid is geïmplementeerd voor de client om de parameter IV_PLAT_VER te verzenden, die informatie over de versie van het besturingssysteem bevat, uitgegeven door de functie uname(), wat het mogelijk maakt om servers statistieken te verzamelen over de OS-versies die door de clients worden gebruikt.
- Op systemen met Linux is het proces systemd-ask-password gestart met de parameter "--timeout=0" om de standaard 90-seconden time-out uit te schakelen.
- Geheugens leaks die zich in FreeBSD voordeden, zijn opgelost.
- Bij opstarten met de optie "--auth-nocache" worden de authenticatieparameters voor proxy's uit het geheugen verwijderd na gebruik.
- In de Windows-client is de functie CryptProtectMemory() ingeschakeld voor de beveiligde opslag van gecacherede wachtwoorden en tokens in het geheugen. Een nieuwe API is gebruikt om de versie van de dco-win-driver te verkrijgen.
Bron: opennet.ru
