Versiunile corective au fost pregătite OpenVPN 2.5.2 și 2.4.11, un pachet pentru crearea de rețele private virtuale, permițând organizarea unei conexiuni criptate între două mașini client sau furnizarea unui server VPN centralizat pentru operarea simultană a mai multor clienți. Cod OpenVPN distribuit sub licența GPLv2, sunt generate pachete binare predefinite pentru Debian, Ubuntu, CentOS, RHEL și Windows.
Noile versiuni remediază o vulnerabilitate (CVE-2020-15078) care permite unui atacator la distanță să ocolească restricțiile de autentificare și acces pentru a divulga setările VPN. Problema afectează doar serverele configurate să utilizeze autentificarea amânată (deferred_auth). În anumite circumstanțe, un atacator poate forța serverul să returneze un mesaj PUSH_REPLY care conține setările. VPN înainte de a trimite mesajul AUTH_FAILED. Atunci când este combinată cu parametrul „--auth-gen-token” sau cu schema de autentificare bazată pe tokenuri proprie a unui utilizator, vulnerabilitatea poate duce la acces VPN utilizând un cont nefuncțional.
Printre modificările care nu țin de securitate, este extinsă și se generează informații despre cifrurile TLS convenite pentru utilizare de către client. ServerAcestea includ informații corecte despre TLS 1.3 și suportul pentru certificate EC. În plus, fișierul CRL care conținea lista certificatelor revocate lipsea la pornire. OpenVPN este acum tratată ca o eroare care duce la reziliere.
Sursa: opennet.ru
