Eine Schwachstelle im VPN-Server wurde von den OpenVPN-Entwicklern geschlossen, durch welche ein Denial of Service (DoS) möglich wäre. Die Lücke wird von den Entwicklern als kritisch eingestuft.

Wird vom Client ein zu kurzes TLS-Paket des Typs P_CONTROL_V1 (Control Channel) an den Server geschickt, stürzt dieser ab. Der Client muss bereits über TLS authentifiziert sein, damit die Denial-of-Service-Attacke funktioniert.

Dragana Damjanovic hat die Lücke entdeckt und sich mit den Entwicklern in Verbindung gesetzt. Bisher sind noch keine Angriffe auf die Schwachstelle bekannt. Alle Server-Versionen, die seit mindestens 2005 veröffentlicht wurden, sind betroffen.

Ein Update auf Version 2.3.6 der Community Edition, die zudem diverse Bugs beseitigt, schafft Abhilfe. Außerdem wurde auch der Versionszweig 2.2.x gepatcht. Hier lautet die abgesicherte Version 2.2.3, welche ausschließlich im Quelltext zum Download bereitsteht. Zusätzlich hat der kommerzielle OpenVPN Access Server ein Sicherheits-Update auf Version 2.0.11 erhalten.

(nd, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE