DSA-3900-1 openvpn -- обновление безопасности

Уровень опасности

Средняя (5.0)

Оценка CVSS

(AV:N/AC:L/Au:N/C:N/I:N/A:P)

Производитель ПО

Debian

Наименование ПО

openvpn (any)

Описание

В openvpn, приложении для работы с виртуальной частной сетью,
было обнаружено несколько проблем.

CVE-2017-7479
    Было обнаружено, что openvpn неправильно обрабатывает
    выгрузку идентификаторов пакетов. Это может позволить аутентифицированному
    удалённому злоумышленнику вызвать отказ в обслуживании из-за аварийной
    остановки приложения.
CVE-2017-7508
    Гвидо Вранкен обнаружил, что openvpn неправильно обрабатывает
    определённые специально сформированные IPv6-пакеты. Это может позволить удалённому
    злоумышленнику вызвать отказ в обслуживании из-за аварийной остановки приложения.
CVE-2017-7520
    Гвидо Вранкен обнаружил, что openvpn неправильно обрабатывает
    клиентские подключения к HTTP-прокси с аутентификацией NTLMv2.
    Это может позволить удалённому злоумышленнику вызвать
    отказ в обслуживании из-за аварийной остановки приложения, либо может приводить к
    утечке чувствительной информации (например, пользовательского пароля от прокси).
CVE-2017-7521
    Гвидо Вранкен обнаружил, что openvpn неправильно обрабатывает
    некоторые расширения x509. Это может позволить удалённому злоумышленнику вызвать
    отказ в обслуживании из-за аварийной остановки приложения.

В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены
в версии 2.3.4-5+deb8u2.
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 2.4.0-6+deb9u1.
В тестируемом выпуске (buster) эти проблемы были исправлены
в версии 2.4.3-1.
В нестабильном выпуске (sid) эти проблемы были исправлены в
версии 2.4.3-1.
Рекомендуется обновить пакеты openvpn.

Как исправить

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
openvpn - 2.4.0-6+deb9u1
Debian GNU/Linux 8:
noarch:
openvpn - 2.3.4-5+deb8u2

Ссылки

http://www.debian.org/security/dsa-3900/

Источник: CVE
Наименование: CVE-2017-7508
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-7508

Источник: CVE
Наименование: CVE-2017-7479
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-7479

Источник: CVE
Наименование: CVE-2017-7521
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-7521

Источник: CVE
Наименование: CVE-2017-7520
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-7520

Назад к списку уязвимостей

DSA-3900-1 openvpn -- обновление безопасности

Карточка уязвимости

Характеристики уязвимости