Bol vydaný OpenVPN 2.6.7, balík na vytváranie virtuálnych súkromných sietí, ktorý umožňuje vytvoriť šifrované pripojenie medzi dvoma klientskými strojmi alebo zabezpečiť prevádzku centralizovaného VPN servera pre súčasnú prácu viacerých klientov. V novej verzii boli odstránené dve zraniteľnosti:
- CVE-2023-46850 — prístup k oblasti pamäte po jej uvoľnení (use-after-free) môže viesť k odoslaniu obsahu pamäte procesu na druhú stranu pripojenia a potenciálne aj k vzdialenému vykonaniu kódu. Problém sa prejavuje v konfiguráciách používajúcich TLS (spúšťaných bez parametra „—secret“).
- CVE-2023-46849 — vznik situácie delenia nulou môže viesť k vzdialenému iniciovaniu havárie prístupového servera v konfiguráciách, ktoré používajú možnosť „—fragment“.
Z nezabezpečených zmien v OpenVPN 2.6.7:
- Pridané varovanie pri odosielaní inej stranou pakiet DATA_V1 pri pokuse o pripojenie klienta OpenVPN 2.6.x k nekompatibilným serverom založeným na verziách 2.4.0-2.4.4 (na odstránenie nekompatibility sa dá použiť možnosť „—disable-dco“).
- Vymazaná metóda viazaná na OpenSSL 1.x, ktorá používala OpenSSL Engine na načítanie kľúčov. Ako dôvod bola uvedená neochota autora prelicencovať kód s novými výnimkami na prepojenia.
- Pridané varovanie pri pripojení klienta p2p NCP k serveru p2mp (kombinácia používaná na prácu bez vyjednávania šifrov), keďže existujú problémy pri používaní verzií 2.6.x na oboch stranách pripojenia.
- Pridané varovanie, že flag „—show-groups“ nezobrazuje všetky podporované skupiny.
- V parametri „—dns“ bola odstránená správa argumentu „exclude-domains“, ktorý sa objavil vo verzii 2.6, ale zatiaľ nie je podporovaný backendmi.
- Pridané varovanie, ktoré sa zobrazuje, ak riadiaca správa INFO má príliš veľkú veľkosť a nemôže byť prenesená klientovi.
- Pre zostavy používajúce MinGW a MSVC bola pridaná podpora pre systém CMake. Odstránená podpora starej systémovej zostavy MSVC.
Okrem toho je možné poznamenať zistenie 9 zraniteľností vo voľne dostupných VPN-serveri SoftEther. Jedným z problémov (CVE-2023-27395) bola priradená kritická úroveň nebezpečnosti — zraniteľnosť spôsobená preplnením vyrovnávacej pamäte, ktorá môže viesť k vzdialenému vykonaniu kódu na strane klienta pri pokuse o pripojenie k serveru riadenému útočníkom. Zraniteľnosť bola odstránená v júlovom aktualizácii SoftEther VPN 4.42 Build 9798 RTM. Ešte dve zraniteľnosti (CVE-2023-32634, CVE-2023-27516) umožňujú získať neoprávnený prístup k VPN relácii počas MITM útoku prostredníctvom použitia predvolených prihlasovacích údajov pre server RPC. Zraniteľnosti boli odstránené prostredníctvom patche.
Zraniteľnosti CVE-2023-31192 a CVE-2023-32275 (patch) môžu viesť k úniku dôverných informácií v niektorých paketoch v dôsledku MITM útokov. Zostávajúce 4 zraniteľnosti (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 a CVE-2023-25774) môžu byť použité na vyvolanie odmietnutia služieb, napríklad na nútené prerušenie pripojenia alebo havarijné ukončenie klienta. Do kódovej základne SoftEther VPN bolo nedávno akceptované aj opravenie 7 zraniteľností, podrobnosti o ktorých zatiaľ nie sú známe.
Zdroj: opennet.ru
