OpenVPN 2.6.7 har slÀppts, vilket Àr ett paket för att skapa virtuella privata nÀtverk som möjliggör en krypterad anslutning mellan tvÄ klientmaskiner eller att driva en centraliserad VPN-server för samtidig drift av flera klienter. Den nya versionen ÄtgÀrdar tvÄ sÄrbarheter:
- CVE-2023-46850 â ett minnesĂ„tkomstproblem efter frigöring (use-after-free) kan leda till att innehĂ„llet i en process minne skickas till den andra sidan av anslutningen samt potentiellt möjliggöra fjĂ€rrkörning av kod. Problemet uppstĂ„r i konfigurationer som anvĂ€nder TLS (startas utan parametern «âsecret»).
- CVE-2023-46849 â en division med noll kan leda till att servern kraschar pĂ„ distans i konfigurationer som anvĂ€nder alternativet «âfragment».
Bland de icke-sÀkerhetsrelaterade Àndringarna i OpenVPN 2.6.7:
- En varning har lagts till vid mottagande av DATA_V1-paket frĂ„n den andra sidan nĂ€r en klient försöker ansluta OpenVPN 2.6.x till inkompatibla servrar som Ă€r baserade pĂ„ versioner 2.4.0-2.4.4 (för att Ă„tgĂ€rda inkompatibilitet kan alternativet «âdisable-dco» anvĂ€ndas).
- Den förÄldrade metoden kopplad till OpenSSL 1.x, som anvÀnder OpenSSL Engine för att ladda nycklar, har tagits bort. Anledningen Àr författarens ovilja att licensiera om koden med nya undantag för lÀnkning.
- En varning har lagts till vid anslutning av p2p NCP-klient till servern p2mp (en kombination som anvÀnds för drift utan förhandling av krypteringsmetoder), eftersom det finns problem med att anvÀnda versioner 2.6.x pÄ bÄda sidor av anslutningen.
- En varning har lagts till om att flaggan «âshow-groups» inte visar alla stödgrupper.
- I parametern «âdns» har hanteringen av argumentet «exclude-domains», som introducerades i version 2.6, tagits bort dĂ„ backend Ă€nnu inte stödjer detta.
- En varning har lagts till som visas om kontrollmeddelandet INFO Àr för stort och inte kan omdirigeras till klienten.
- För byggen som anvÀnder MinGW och MSVC har stöd för byggsystemet CMake lagts till. Stödet för det gamla byggsystemet MSVC har tagits bort.
Dessutom kan man notera att 9 sĂ„rbarheter har identifierats i den öppna koden. VPN-servern SoftEther. En av problemen (CVE-2023-27395) har tilldelats en kritisk risknivĂ„ â sĂ„rbarheten orsakas av buffertöverflöd och kan leda till fjĂ€rrkörning av kod pĂ„ klientens sida vid försök att ansluta till en server som kontrolleras av en angripare. SĂ„rbarheten har Ă„tgĂ€rdats i juniuppdateringen av SoftEther VPN 4.42 Build 9798 RTM. Ytterligare tvĂ„ sĂ„rbarheter (CVE-2023-32634, CVE-2023-27516) ger möjlighet att fĂ„ obehörig Ă„tkomst till VPN-sessionen under en MITM-attack genom att anvĂ€nda standardinloggningar för RPC-servern. SĂ„rbarheterna har Ă„tgĂ€rdats i form av en patch.
SÄrbarheterna CVE-2023-31192 och CVE-2023-32275 (patch) kan leda till lÀckage av konfidentiel information i vissa paket som en följd av MITM-attacker. De ÄterstÄende 4 sÄrbarheterna (CVE-2023-22325, CVE-2023-23581, CVE-2023-22308 och CVE-2023-25774) kan anvÀndas för att orsaka överbelastningstjÀnst, till exempel för att tvinga en nedkoppling eller krascha klienten. I kodbasen för SoftEther VPN har nyligen ocksÄ ett fel rÀttats i 7 sÄrbarheter vars detaljer för nÀrvarande Àr okÀnda.
KĂ€lla: opennet.ru
