Foi preparada uma versão corretiva do OpenVPN 2.5.3, um pacote para a criação de redes privadas virtuais que permite organizar uma conexão criptografada entre duas máquinas clientes ou fornecer um servidor VPN centralizado para a operação simultânea de vários clientes. O código OpenVPN é distribuído sob a licença GPLv2, pacotes binários prontos são gerados para Debian, Ubuntu, CentOS, RHEL e Windows.
A nova versão elimina a vulnerabilidade (CVE-2021-3606), que só aparece na build para plataforma Windows. A vulnerabilidade permite o carregamento de arquivos de configuração OpenSSL de diretórios graváveis de terceiros para alterar as configurações de criptografia. Na nova versão, o carregamento dos arquivos de configuração OpenSSL está completamente desabilitado.
Mudanças não relacionadas à segurança incluem a adição da opção “--auth-token-user” (semelhante a “--auth-token”, mas sem usar “--auth-user-pass”), processo de compilação aprimorado para Windows, suporte aprimorado para a biblioteca mbedtls e avisos de direitos autorais atualizados no código (mudanças estéticas).
Além disso, podemos notar que o Opera desativou sua VPN para usuários russos a pedido do Roskomnadzor. No momento, a funcionalidade VPN parou de funcionar nas versões beta e de desenvolvedor do navegador. Roskomnadzor argumenta que as restrições são necessárias para “responder às ameaças de contornar as restrições ao acesso à pornografia infantil, conteúdos suicidas, pró-drogas e outros conteúdos proibidos”. Além do Opera VPN, o bloqueio também foi aplicado ao serviço VyprVPN.
Anteriormente, Roskomnadzor enviou um aviso a 10 serviços VPN com a exigência de “conectar-se ao sistema de informação estatal (FSIS)” para bloquear o acesso a recursos proibidos na Federação Russa; Opera VPN e VyprVPN estavam entre eles. 9 em cada 10 serviços ignoraram a solicitação ou recusaram-se a cooperar com Roskomnadzor (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Apenas o produto Kaspersky Secure Connection atendeu aos requisitos.
Fonte: opennet.ru