Foi preparado o lançamento do OpenVPN 2.6.7, um pacote para a criação de redes privadas virtuais que permite organizar uma conexão criptografada entre duas máquinas clientes ou fornecer um servidor VPN centralizado para o funcionamento simultâneo de vários clientes. A nova versão corrige duas vulnerabilidades:
- CVE-2023-46850 - Um acesso use-after-free a uma região de memória pode resultar no envio do conteúdo da memória do processo para o outro lado da conexão e, potencialmente, levar à execução remota de código. O problema ocorre em configurações que usam TLS (executadas sem a opção --secret).
- CVE-2023-46849 Uma situação de divisão por zero pode levar a uma falha no servidor de acesso remoto em configurações que usam a opção --fragment.
Mudanças não relacionadas à segurança no OpenVPN 2.6.7:
- Adicionado um aviso quando o outro lado envia pacotes DATA_V1 ao tentar conectar um cliente OpenVPN 2.6.x a servidores incompatíveis baseados nas versões 2.4.0-2.4.4 (você pode usar a opção “--disable-dco” para eliminar incompatibilidade) .
- Removido um método obsoleto vinculado ao OpenSSL 1.x que usa o OpenSSL Engine para carregar chaves. A razão citada é a relutância do autor em licenciar novamente o código com novas exceções de vinculação.
- Adicionada advertência ao conectar um cliente NCP ponto a ponto. servidor p2mp (uma combinação que costumava funcionar sem negociação de cifras), pois há problemas ao usar as versões 2.6.x em ambos os lados da conexão.
- Adicionado um aviso de que o sinalizador "--show-groups" não mostra todos os grupos suportados.
- No parâmetro “—dns”, o processamento do argumento “exclude-domains”, que apareceu no branch 2.6, mas ainda não é suportado por backends, foi removido.
- Adicionado um aviso a ser mostrado se a mensagem de controle INFO for muito grande para ser encaminhada ao cliente.
- Para compilações usando MinGW e MSVC, foi adicionado suporte para o sistema de compilação CMake. Removido o suporte para o antigo sistema de compilação MSVC.
Além disso, vale destacar a identificação de 9 vulnerabilidades no código aberto. VPN- Servidor SoftEther. Uma vulnerabilidade (CVE-2023-27395) foi classificada como crítica — ela é causada por um estouro de buffer e pode levar à execução remota de código no lado do cliente ao tentar se conectar a um servidor controlado por um atacante. A vulnerabilidade foi corrigida na atualização de junho do SoftEther VPN 4.42 Build 9798 RTM. Outras duas vulnerabilidades (CVE-2023-32634 e CVE-2023-27516) permitem acesso não autorizado a uma sessão VPN durante um ataque man-in-the-middle, usando as credenciais padrão do servidor RPC. Essas vulnerabilidades também foram corrigidas.
As vulnerabilidades CVE-2023-31192 e CVE-2023-32275 (patch) podem levar ao vazamento de informações confidenciais em alguns pacotes como resultado de ataques MITM. As 4 vulnerabilidades restantes (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 e CVE-2023-25774) podem ser usadas para causar negação de serviço, como forçar uma conexão ou travar um cliente. A base de código SoftEther VPN também recebeu recentemente correções para 7 vulnerabilidades, cujos detalhes ainda não estão disponíveis.
Fonte: opennet.ru
