Sind Sie ein Benutzer von OpenVPN? Die Software gepatcht vier Schwachstellen nur in dieser Woche. Einer der Fehler ist ziemlich streng - eine Remotecodeausführung Fehler, der ein authentifizierter Angreifer in Code auf einem kompromittierten Box laufen. Die Schwachstelle wird identifiziert als CVE-2017-7521.
CVE-2017-7521 Technische Daten
Der Fehler betrifft OpenVPN Server-Seite, und wie erläutert von Guido Vranken, der Fehler kann „Remote Server abstürzt / double-free / Speicherlecks in Zertifikat processing“ verursachen. Außerdem:
CVE-2017-7521 können den Server des verfügbaren Speichers Drain, was zu einem ‚doppelten frei führen kann,‘, Die eine Art und Weise zu verderben den Speicher des Servers ist. Zusamenfassend, das Worst-Case-Szenario ist, dass der Benutzer seinen Code auf dem Server ausführen kann. Dies ist die schlimmste Verwundbarkeit. Sie authentifizieren und dann in Handarbeit Daten senden, wonach der Server abstürzt. Ich würde sagen, dass dies ein Besorgnis erregendes Problem für (kommerziell) VPN-Anbieter, so müssen sie auf jeden Fall so schnell wie möglich aktualisieren,.
Die anderen Flaws (CVE-2017-7520, CVE-2017-7522, CVE-2017-7508)
Die Patches für alle vier Mängel, CVE-2017-7521 inklusive, ausgegeben wurden, nachdem sie im Privatbesitz von Vranken offenbart wurden, die eine fuzzer verwendet, um die Fehler zu finden.
Wurden die Mängel in der öffentlichen Angriffe ausgenutzt? Der Forscher sagt, dass er nicht weiß,. „Das ist schwer für mich zu sagen. Aber ich würde sagen, dass, wenn ich dies aus purer Neugier in ein paar Wochen Freizeit tun kann, stark mit politischen Zielen finanzierte Organisationen können es auch tun," er erklärte.
Drei der Mängel die Forscher kamen über waren serverseitige Server zum Absturz bringen. Die clientseitige Fehler ermöglicht es Hackern Passwörter zu stehlen Zugriff auf den Proxy zu erhalten. Die serverseitige Fehler erfordern den Hacker authentifiziert werden.
Alle Server-Probleme erfordern, dass der Benutzer authentifiziert. Dies erfordert, dass der Systemadministrator das Zertifikat von einem böswilligen Benutzer unterzeichnet. Für einzelne Benutzer, die ihre privaten Server laufen ist dies unwahrscheinlich, aber es ist schlecht für die VPN-Dienste, die diesen Prozess für eine große Gruppe automatisiert von (nicht vertrauenswürdig) Benutzer.
Sie können den vollständigen Bericht anzeigen hier.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: