Bol to vydaný balík na vytváranie virtuálnych privátnych sietí OpenVPN 2.6.13, ktorý umožňuje organizovať šifrované spojenie medzi dvoma klientskými strojmi alebo zriadiť centralizovaný VPN server pre súčasnú prácu niekoľkých klientov. V novej verzii bola odstránená bezpečnostná chyba, ktorá spôsobila pretečenie vyrovnávacej pamäte na strane servera OpenVPN pri prijímaní prihlasovacích údajov od klienta, ktorých veľkosť presahuje hodnotu USER_PASS_LEN. CVE identifikátor zraniteľnosti zatiaľ nebol pridelený a nie je jasné, do akej miery je problém vhodný na výrobu funkčných exploitov.
Z nezabezpečených zmien môžeme spomenúť:
- Bola implementovaná funkcia, ktorá odosiela klientom parameter IV_PLAT_VER obsahujúci informácie o verzii operačného systému poskytované funkciou uname(), čo umožňuje serveroch zbierať štatistiky o verziách OS používaných klientmi.
- Na systémoch s Linuxom je zabezpečené spustenie procesu systemd-ask-password s parametrom "--timeout=0" na vypnutie predvolenej 90-sekundovej časovej lehoty.
- Boli odstránené úniky pamäte, ktoré sa prejavovali vo FreeBSD.
- Pri spustení s voľbou "--auth-nocache" bolo implementované odstránenie autentifikačných parametrov z pamäte po ich použití.
- Vo Windows kliente bola využitá funkcia CryptProtectMemory() na zabezpečené uchovávanie v pamäti vyrovnaných hesiel a tokenov. Bol použitý nový API na získanie verzie ovládača dco-win.
Zdroj: opennet.ru
