Sårbarheter i OpenVPN og SoftEther VPN

Utgitt versjon OpenVPN 2.6.7, en pakke for opprettelse av virtuelle private nettverk som lar deg organisere en kryptert forbindelse mellom to klientmaskiner eller sette opp en sentralisert VPN-server for samtidig drift av flere klienter. I den nye versjonen er to sårbarheter fikset:

• CVE-2023-46850 — tilgang til minneområder etter at de er frigitt (use-after-free) kan føre til at innhold fra minnet til prosessen sendes til den andre siden av forbindelsen, samt potensielt til fjernkjøring av kode. Problemet oppstår i konfigurasjoner som bruker TLS (kjørt uten parameteret «—secret»).
• CVE-2023-46849 — en situasjon der det oppstår deling på null kan føre til at serveren for tilgang stoppes uventet i konfigurasjoner som bruker alternativet «—fragment».

Av endringer som ikke er relatert til sikkerhet i OpenVPN 2.6.7:

• Lagt til varsel når den andre siden sender DATA_V1 pakker ved forsøk på å koble klienten OpenVPN 2.6.x til inkompatible servere basert på versjoner 2.4.0-2.4.4 (for å løse kompatibilitetsproblemet kan alternativet «—disable-dco» brukes).
• Fjernet den utdaterte metoden knyttet til OpenSSL 1.x som bruker OpenSSL Engine for å laste nøkler. Årsaken som er oppgitt er forfatternes uvillighet til å re-lisensiere koden med nye unntak for binding.
• Lagt til varsel ved tilkobling av p2p NCP klient til server p2mp (kombinasjonen som brukes for drift uten forhandling om chiffere), da det er problemer ved bruk av versjoner 2.6.x på begge sider av forbindelsen.
• Lagt til varsel om at flagget «—show-groups» ikke viser alle støttede grupper.
• I parameteren «—dns» er behandlingen av argumentet «exclude-domains» fjernet, som dukket opp i versjon 2.6, men som fortsatt ikke støttes av backendene.
• Lagt til varsel som vises hvis kontrollmeldingen INFO har for stor størrelse og ikke kan videresendes til klienten.
• For bygg med MinGW og MSVC er støtte for CMake byggesystem lagt til. Støtten for det gamle MSVC byggesystemet er fjernet.

I tillegg kan man merke seg oppdagelsen av 9 sårbarheter i åpen kildekode. VPN-server SoftEther. En av problemene (CVE-2023-27395) er vurdert til kritisk nivå — sårbarheten er forårsaket av buffer-overløp og kan føre til eksternt kodekjøring på klientsiden, når man prøver å koble til en server kontrollert av en angriper. Sårbarheten ble rettet i junioppdateringen av SoftEther VPN 4.42 Build 9798 RTM. To andre sårbarheter (CVE-2023-32634, CVE-2023-27516) gir mulighet for uautorisert tilgang til en VPN-økt under en MITM-angrep ved hjelp av standarderklærte legitimasjonsbeskrivelser for RPC-serveren. Sårbarhetene ble rettet i form av en patch.

Sårbarhetene CVE-2023-31192 og CVE-2023-32275 (patch) kan føre til lekkasje av konfidensiell informasjon i visse pakker som et resultat av MITM-angrep. De resterende 4 sårbarhetene (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 og CVE-2023-25774) kan brukes til å forårsake tjenestenekt, for eksempel ved å tvinge oppbrudd av forbindelsen eller krasje klienten. Det ble nylig også akseptert en korreksjon av 7 sårbarheter i kodebasen til SoftEther VPN, detaljer om disse er ennå ikke tilgjengelige.

Kilde: opennet.ru