Kritisk sårbarhet paralyserar OpenVPN server

Vem driver en OpenVPN server bör omedelbart ta detta aktuellt. Genom en sårbarhet angripare kan påverka tillgängligheten avsevärt.

OpenVPN utvecklarna har stängt en sårbarhet i sin VPN-server genom vilken angripare kan ställa in servern lama Denial of Service (DoS). Utvecklarna småningom en lucka som kritiska. En klient skickar en alltför kort TLS pakettypen P_CONTROL_V1 (kontrollkanal) till servern kraschar senare. Således Denial of Service ska fungera måste kunden redan autentiseras via TLS. För VPN leverantör är detta dock inte ett hinder, eftersom kunderna har tillgång till den information som behövs.

patch nu

Har upptäckt gapet Dragana Damjanovic, som sedan satt i samband med de utvecklare. Angrepp på sårbarheten är ännu inte kända, men det kan snart ändras, eftersom du kan förstå detaljerna i gapet i källkoden. Detta påverkar alla serverversioner som har släppts sedan åtminstone 2005.

En lösning skulle kunna uppdateras till version 2.3.6 Community Edition, som också eliminerar flera buggar. Utvecklarna har tagit Patch 2.2.x i frigör grenen, den säkrade versionen här betyder 2.2.3 och finns endast i källkoden tillgänglig för nedladdning. Det finns en säkerhetsuppdatering för kommersiella OpenVPN Access Server till version 2.0.11.