Foram preparados lançamentos corretivos do OpenVPN 2.5.6 e 2.4.12, pacote para criação de redes privadas virtuais que permite organizar uma conexão criptografada entre duas máquinas cliente ou garantir o funcionamento de um servidor VPN centralizado para o uso simultâneo de vários clientes. O código do OpenVPN é distribuído sob a licença GPLv2, pacotes binários prontos são gerados para Debian, Ubuntu, CentOS, RHEL e Windows.
As novas versões corrigem uma vulnerabilidade que potencialmente permite contornar a autenticação por meio de manipulação de plugins externos que suportam o modo de autenticação adiada (deferred_auth). O problema ocorre quando vários plugins enviam respostas de autenticação adiadas, o que permite que um usuário externo obtenha acesso com base em credenciais não totalmente corretas. A partir das versões OpenVPN 2.5.6 e 2.4.12, tentativas de usar autenticação adiada com vários plugins resultarão em uma mensagem de erro.
Outras mudanças incluem a inclusão de um novo plugin sample-plugin/defer/multi-auth.c, que pode ser útil para organizar testes de uso simultâneo de diferentes plugins de autenticação, a fim de evitar vulnerabilidades semelhantes àquela discutida acima. Na plataforma Linux, a opção "—mtu-disc maybe|yes" foi implementada. Uma vazamento de memória foi corrigido nas rotinas de adição de rotas.
Fonte: opennet.ru
