Uppdatering av OpenVPN 2.5.3. Avstängning av Opera VPN och VyprVPN i Ryssland.

En korrigerande version av OpenVPN 2.5.3 har förberetts, ett paket för att skapa virtuella privata nätverk som möjliggör en krypterad anslutning mellan två klientmaskiner eller tillhandahåller drift av en centraliserad VPN-server för samtidig drift av flera klienter. Koden för OpenVPN distribueras under GPLv2-licensen, och färdiga binärpaket skapas för Debian, Ubuntu, CentOS, RHEL och Windows.

I den nya versionen har en sårbarhet (CVE-2021-3606) åtgärdats, som endast uppträder i byggnaden för Windows-plattformen. Sårbarheten tillåter laddning av OpenSSL-konfigurationsfiler från skrivskyddade externa kataloger, vilket kan ändra krypteringsinställningarna. I den nya versionen är laddning av OpenSSL-konfigurationsfiler helt inaktiverad.

Bland icke-säkerhetsrelaterade förändringar kan vi nämna tillägg av alternativet "—auth-token-user" (motsvarar "—auth-token", men utan tillämpning av "—auth-user-pass"), förbättring av byggprocessen för Windows, förbättrad stöd för mbedtls-biblioteket och uppdatering av upphovsrättanteckningar i koden (kosmetiska förändringar).

Det kan även nämnas att företaget Opera har stängt sin VPN för ryska användare på begäran av Roskomnadzor. För närvarande har VPN-funktionaliteten slutat fungera i beta- och utvecklarversionerna av webbläsaren. Roskomnadzor hävdar att begränsningarna är nödvändiga för "att reagera på hotet av att kringgå begränsningar av tillgången till barnpornografi, självmord, droger och annat förbjudet innehåll". Förutom Opera VPN har blockeringen även tillämpats på tjänsten VyprVPN.

Tidigare hade Roskomnadzor skickat varningar till 10 VPN-tjänster med krav på "koppling till det statliga informationssystemet (FGIS)" för att blockera tillgången till resurser som är förbjudna i Ryssland, däribland Opera VPN och VyprVPN. 9 av 10 tjänster ignorerade eller vägrade att samarbeta med Roskomnadzor (NordVPN, Hide My Ass!, Hola VPN, OpenVPN, VyprVPN, ExpressVPN, TorGuard, IPVanish, VPN Unlimited). Endast produkten Kaspersky Secure Connection uppfyllde kraven.

Källa: opennet.ru