Siideynta saxda ah ee OpenVPN 2.5.2 iyo 2.4.11 ayaa la diyaariyey, xirmo loogu talagalay abuurista shabakado gaar loo leeyahay oo kuu oggolaanaya inaad abaabulto xiriir qarsoodi ah oo ka dhexeeya laba mashiin oo macmiil ah ama aad siiso server VPN dhexe ah si ay isku mar u wada shaqeeyaan dhowr macaamiil. Koodhka OpenVPN waxa lagu qaybiyaa shatiga GPLv2, xidhmooyinka binary-ga ah ee diyaarsan ayaa loo soo saaray Debian, Ubuntu, CentOS, RHEL iyo Windows.
Siidaynta cusubi waxay hagaajinaysaa nuglaanta (CVE-2020-15078) taas oo u oggolaanaysa weeraryahan fog inuu dhaafo aqoonsiga oo uu galo xannibaado si uu u daadiyo dejimaha VPN. Dhibaatadu waxay ka muuqataa kaliya server-yada loo habeeyey inay isticmaalaan deferred_auth. Xaaladaha qaarkood, weeraryahanku waxa uu ku qasbi karaa serfarka inuu soo celiyo fariinta PUSH_REPLY oo wadata xog ku saabsan goobaha VPN ka hor inta aanu dirin fariinta AUTH_FAILED. Marka lagu daro isticmaalka --auth-gen-token parameter ama isticmaalka isticmaaluhu ee nidaamka aqoonsiga ku salaysan calaamadahooda, baylahdu waxay keeni kartaa in qof uu galo VPN isagoo isticmaalaya akoon aan shaqaynayn.
Isbeddellada aan amniga ahayn waxaa ka mid ah balaadhinta bandhigga macluumaadka ku saabsan xarfaha TLS ee lagu heshiiyey isticmaalka macmiilka iyo serferka. Oo ay ku jiraan macluumaadka saxda ah ee ku saabsan taageerada TLS 1.3 iyo shahaadooyinka EC. Intaa waxaa dheer, maqnaanshaha faylka CRL ee leh liiska ka noqoshada shahaadada inta lagu jiro furitaanka OpenVPN hadda waxaa loola dhaqmayaa sidii khalad horseedaya joojinta.
Source: opennet.ru