Lançado o pacote OpenVPN 2.6.13 para criar redes privadas virtuais, permitindo estabelecer uma conexão criptografada entre duas máquinas cliente ou operar um servidor VPN centralizado para o funcionamento simultâneo de vários clientes. Na nova versão, um problema de segurança que levava a um estouro de buffer no lado do servidor OpenVPN ao receber do cliente um login ou senha com tamanho superior ao valor USER_PASS_LEN foi corrigido. O identificador CVE da vulnerabilidade ainda não foi atribuído e não está claro quão adequadamente a questão pode ser explorada.
Das mudanças não relacionadas à segurança, podemos destacar:
- Implementada a opção do cliente enviar o parâmetro IV_PLAT_VER, contendo informações sobre a versão do sistema operacional fornecidas pela função uname(), o que permite em servidores recolher estatísticas sobre as versões do SO utilizadas pelos clientes.
- Nos sistemas Linux, garantido o lançamento do processo systemd-ask-password com o parâmetro "--timeout=0" para desativar o timeout padrão de 90 segundos.
- Corrigidos vazamentos de memória que se manifestavam no FreeBSD.
- Ao iniciar com a opção "--auth-nocache", implementada a remoção dos parâmetros de autenticação da memória após seu uso.
- No cliente Windows, a função CryptProtectMemory() foi utilizada para o armazenamento seguro na memória de senhas e tokens em cache. Um novo API foi acionado para obter a versão do driver dco-win.
Fonte: opennet.ru
