Foi lançado o OpenVPN 2.6.7, um pacote para a criação de redes privadas virtuais que permite estabelecer uma conexão criptografada entre duas máquinas clientes ou garantir o funcionamento de um servidor VPN centralizado para o uso simultâneo de vários clientes. A nova versão corrige duas vulnerabilidades:
- CVE-2023-46850 — o acesso a áreas da memória após sua liberação (use-after-free) pode levar ao envio de conteúdo da memória do processo para o outro lado da conexão, além de potencialmente permitir a execução remota de código. O problema se manifesta em configurações que utilizam TLS (executadas sem o parâmetro '—secret').
- CVE-2023-46849 — a ocorrência de uma divisão por zero pode causar a finalização anômala do servidor de acesso em configurações que utilizam a opção '—fragment'.
Entre as mudanças não relacionadas à segurança no OpenVPN 2.6.7:
- Foi adicionada uma advertência ao receber pacotes DATA_V1 de outro lado ao tentar conectar um cliente OpenVPN 2.6.x a servidores incompatíveis baseados nas versões 2.4.0-2.4.4 (para corrigir a incompatibilidade, a opção '—disable-dco' pode ser utilizada).
- Foi removido o método obsoleto vinculado ao OpenSSL 1.x, que utilizava o OpenSSL Engine para carregar chaves. O motivo informado é a recusa do autor em relicenciar o código com novas exceções de vinculação.
- Foi adicionada uma advertência ao conectar o cliente p2p NCP ao servidor p2mp (combinação usada para operar sem negociação de cifras), pois existem problemas ao usar versões 2.6.x em ambos os lados da conexão.
- Foi adicionada uma advertência de que a flag '—show-groups' não exibe todos os grupos suportados.
- Na opção '—dns', foi removida a manipulação do argumento 'exclude-domains', que surgiu no ramo 2.6, mas ainda não é suportada pelos backends.
- Foi adicionada uma advertência que aparece se a mensagem de controle INFO tiver um tamanho excessivo e não puder ser encaminhada ao cliente.
- Para builds utilizando MinGW e MSVC, foi adicionada suporte ao sistema de build CMake. Removido o suporte ao antigo sistema de build MSVC.
Adicionalmente, foi identificada a descoberta de 9 vulnerabilidades no código aberto. VPN-servidor SoftEther. Um dos problemas (CVE-2023-27395) foi classificado com um nível crítico de gravidade — a vulnerabilidade é causada por um estouro de buffer e pode levar à execução remota de código no lado do cliente ao tentar se conectar a um servidor controlado por um invasor. A vulnerabilidade foi corrigida na atualização de junho do SoftEther VPN 4.42 Build 9798 RTM. Outras duas vulnerabilidades (CVE-2023-32634, CVE-2023-27516) possibilitam o acesso não autorizado à sessão VPN durante um ataque MITM, utilizando credenciais padrão para o servidor RPC. As vulnerabilidades foram corrigidas por meio de um patch.
As vulnerabilidades CVE-2023-31192 e CVE-2023-32275 (patch) podem resultar em vazamento de informações confidenciais em alguns pacotes devido a ataques MITM. As 4 vulnerabilidades restantes (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 e CVE-2023-25774) podem ser exploradas para causar negação de serviço, como forçar a desconexão ou a falha do cliente. Recentemente, 7 vulnerabilidades também foram corrigidas na base de código do SoftEther VPN, detalhes sobre as quais ainda não estão disponíveis.
Fonte: opennet.ru
