Korrigerade versioner av OpenVPN 2.5.2 och 2.4.11 har förberetts, paketet för att skapa virtuella privata nÀtverk som möjliggör krypterade anslutningar mellan tvÄ klientmaskiner eller sÀkerstÀller att en centraliserad VPN-server fungerar för flera klienter samtidigt. Koden för OpenVPN distribueras under GPLv2-licensen, och fÀrdiga binÀrpaket skapas för Debian, Ubuntu, CentOS, RHEL och Windows.
I de nya versionerna har en sÄrbarhet (CVE-2020-15078) ÄtgÀrdats, vilket tillÄter en fjÀrrangripare att kringgÄ autentisering och ÄtkomstbegrÀnsningar för att möjliggöra lÀckage av data om VPN-instÀllningar. Problemet uppstÄr endast pÄ servrar dÀr anvÀndning av fördröjd autentisering (deferred_auth) Àr konfigurerad. Under vissa omstÀndigheter kan angriparen tvinga servern att returnera ett PUSH_REPLY-meddelande med VPN-instÀllningarna. VPN före avsÀndning av AUTH_FAILED-meddelandet. I kombination med anvÀndningen av parametern "--auth-gen-token" eller genom att anvÀndaren tillÀmpar eget autentiseringsschema baserat pÄ token, kan sÄrbarheten leda till att obehörig Ätkomst till VPN erhÄlls med en inaktiv anvÀndarpost.
Bland de icke-sÀkerhetsrelaterade Àndringarna mÀrks en utvidgning av informationsutmatningen om TLS-krypteringar, som överenskommits för anvÀndning av klienten och servern. Det har bland annat lagts till korrekt information om stöd för TLS 1.3 och EC-certifikat. Dessutom tolkas avsaknaden av en CRL-fil med listan över Äterkallade certifikat vid start av OpenVPN nu som ett fel som leder till att programmet avslutas.
KĂ€lla: opennet.ru
