Korrigerande utgÄvor av OpenVPN 2.5.6 och 2.4.12 har förberetts, paketet för att skapa virtuella privata nÀtverk som möjliggör krypterad kommunikation mellan tvÄ klientmaskiner eller en centralt hanterad VPN-server för samtidiga klienter. Koden för OpenVPN distribueras under GPLv2-licensen, fÀrdiga binÀrpaket skapas för Debian, Ubuntu, CentOS, RHEL och Windows.
I de nya versionerna har en sÄrbarhet ÄtgÀrdats som potentiellt kan kringgÄ autentisering genom att manipulera externa plugins som stöder lÀget för uppskjuten autentisering (deferred_auth). Problemet uppstÄr nÀr flera plugins skickar uppskjutna autentiseringssvar, vilket gör att en extern anvÀndare kan fÄ tillgÄng baserat pÄ ofullstÀndiga autentiseringsuppgifter. FrÄn och med utgÄvorna av OpenVPN 2.5.6 och 2.4.12 kommer försök att anvÀnda uppskjuten autentisering av flera plugins att leda till ett felmeddelande.
Bland andra förÀndringar kan nÀmnas inkluderingen av den nya pluginen sample-plugin/defer/multi-auth.c, vilket kan vara anvÀndbart för att organisera testning av samtidigt anvÀndande av olika autentiseringsplugins för att förhindra sÄrbarheter som den ovan nÀmnda. PÄ Linux-plattformen har stöd för alternativet "--mtu-disc maybe|yes" införts. En minneslÀcka har ÄtgÀrdats i rutiner för att lÀgga till rutter.
KĂ€lla: opennet.ru
