Foi lançado um release corretivo do OpenVPN 2.5.3, pacote para criação de redes privadas virtuais, permitindo estabelecer uma conexão criptografada entre duas máquinas cliente ou operar um servidor VPN centralizado para o uso simultâneo de vários clientes. O código do OpenVPN é distribuído sob a licença GPLv2, e pacotes binários são gerados para Debian, Ubuntu, CentOS, RHEL e Windows.
Na nova versão, foi corrigida a vulnerabilidade (CVE-2021-3606), que se manifesta apenas na compilação para a plataforma Windows. A vulnerabilidade permite o carregamento de arquivos de configuração do OpenSSL de diretórios de terceiros que são graváveis, podendo alterar as configurações de criptografia. Na nova versão, o carregamento de arquivos de configuração do OpenSSL foi completamente desativado.
Entre as alterações que não estão relacionadas à segurança, destaca-se a adição da opção "—auth-token-user" (semelhante ao "—auth-token", mas sem o uso de "—auth-user-pass"), melhorias no processo de compilação para Windows, aprimoramento do suporte à biblioteca mbedtls e atualização de notas de direitos autorais no código (alterações cosméticas).
Adicionalmente, pode-se observar que a empresa Opera desativou seu VPN para usuários russos a pedido do Roskomnadzor. Neste momento, a funcionalidade VPN deixou de funcionar nas versões beta e developer do navegador. O Roskomnadzor afirma que as restrições são necessárias para "reagir a ameaças de contornamento das limitações no acesso a conteúdo de pornografia infantil, suicídio, drogas e outros conteúdos proibidos". Além do Opera VPN, a bloqueio também foi aplicado ao serviço VyprVPN.
Anteriormente, o Roskomnadzor enviou notificações a 10 serviços de VPN exigindo a "conexão ao sistema de informação estatal (FGIS)" para bloquear o acesso a recursos proibidos na Rússia, tendo o Opera VPN e o VyprVPN entre eles. Nove dos dez serviços ignoraram a exigência ou se recusaram a cooperar com o Roskomnadzor (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Apenas o produto Kaspersky Secure Connection cumpriu os requisitos.
Fonte: opennet.ru
