Boli pripravené opravy OpenVPN 2.5.2 a 2.4.11, balíka na vytváranie virtuálnych privátnych sietí, ktorý umožňuje zriadiť šifrované pripojenie medzi dvoma klientskými zariadeniami alebo zabezpečiť prácu centralizovaného VPN servera pre súčasnú prácu viacerých klientov. Kód OpenVPN je šírený pod licenciou GPLv2, hotové binárne balíky sú vytvárané pre Debian, Ubuntu, CentOS, RHEL a Windows.
V nových vydaniach bola odstránená zraniteľnosť (CVE-2020-15078), ktorá umožňuje vzdialenému útočníkovi obísť autentifikáciu a obmedzenia prístupu na organizáciu úniku údajov o nastaveniach VPN. Problém sa prejavuje iba na serveroch, na ktorých je nastavené používanie odloženého overovania (deferred_auth). Útočník za určitých okolností môže donútiť server vrátiť správu PUSH_REPLY s údajmi o nastaveniach. VPN do odoslania správy AUTH_FAILED. V kombinácii s použitím parametra „—auth-gen-token“ alebo použitím vlastného autentifikačného systému používateľom na báze tokenov, môže zraniteľnosť viesť k získaniu prístupu k VPN pomocou nefunkčného účtu.
Medzi nezávislými zmenami nesúvisiacimi s bezpečnosťou je pozoruhodné rozšírenie výstupu informácií o TLS šifrách, dohodnutých na používanie klientom a serverom. V tomto prípade boli pridané správne informácie o podpore TLS 1.3 a EC certifikátov. Okrem toho sa nedostatok súboru CRL zo zoznamu zrušených certifikátov pri spustení OpenVPN teraz interpretuje ako chyba, ktorá vedie k ukončeniu práce.
Zdroj: opennet.ru
