Исследователи обнаружили баг в OpenVPN, который пропустили две команды аудиторов

[alexsf]

Guests are not allowed to view images in posts, please You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Только на прошлой неделе You are not allowed to view links. Register or Login о том, что сразу две независимые команды аудиторов завершили проверку одного из популярнейших на сегодня VPN-клиентов — OpenVPN. Тогда исследователи не обнаружили никаких серьезных проблем в OpenVPN, а найденные ими мелкие недочеты были оперативно устранены разработчиками. Тогда представители OSTIF заявили, что «исправления, внесенные в OpenVPN, означают, что мир становится безопаснее, когда используется данное ПО».

Однако два проведенных аудита еще не означают, что багов в OpenVPN  нет вовсе. Так, на этой неделе специалисты компании Sydream Labs You are not allowed to view links. Register or Login, которую они обнаружили в административном интерфейсе OpenVPN еще в январе 2017 года. Уязвимость позволяет похитить чужую сессию, а затем воспользоваться этим для доступа к OpenVPN-AS с правами жертвы. Если пострадавший имел привилегии администратора, проблема становится еще серьезнее.



Уязвимость получила идентификатор CVE-2017-5868, но патча для нее пока нет.  Пока исправление не появится, специалисты рекомендуют использовать функцию Reverse Proxy, что позволяет запретить использование CRLF в URI. Также исследователи советуют ограничить или закрыть доступ к веб-интерфейсу, хотя бы задействовав белые списки IP-адресов.

You are not allowed to view links. Register or Login