Foram preparados lançamentos corretivos do OpenVPN 2.5.2 e 2.4.11, um pacote para criar redes privadas virtuais, que permite estabelecer uma conexão criptografada entre duas máquinas clientes ou operar um servidor VPN centralizado para o funcionamento simultâneo de vários clientes. O código do OpenVPN é distribuído sob a licença GPLv2, e pacotes binários prontos são formados para Debian, Ubuntu, CentOS, RHEL e Windows.
Nas novas versões, foi corrigida uma vulnerabilidade (CVE-2020-15078) que permite que um atacante remoto contorne a autenticação e as restrições de acesso, possibilitando a vazamento de dados sobre as configurações do VPN. O problema se manifesta apenas em servidores configurados para usar autenticação adiada (deferred_auth). Sob certas circunstâncias, o atacante pode forçar o servidor a retornar uma mensagem PUSH_REPLY com dados sobre as configurações VPN antes de enviar a mensagem AUTH_FAILED. Combinado com o uso do parâmetro "—auth-gen-token" ou com a aplicação de um esquema de autenticação baseado em tokens por parte do usuário, a vulnerabilidade pode levar ao acesso ao VPN usando uma conta inválida.
Em mudanças não relacionadas à segurança, destaca-se a ampliação da saída de informações sobre os TLS-ciphers acordados para uso pelo cliente e servidor. Inclui também informações corretas sobre o suporte ao TLS 1.3 e certificados EC. Além disso, a ausência de um arquivo CRL contendo a lista de certificados revogados durante a inicialização do OpenVPN agora é tratada como um erro que leva à interrupção do funcionamento.
Fonte: opennet.ru
