Το OpenVPN ανακοίνωσε μια σειρά από διορθώσεις ασφαλείας για τα 2.6 stable και 2.7 development branches, αντιμετωπίζοντας τρεις διαφορετικές ευπάθειες που θα μπορούσαν να οδηγήσουν σε local denial-of-service (DoS), σε παράκαμψη κρίσιμων μηχανισμών ασφαλείας και σε buffer over-reads. Οι διορθώσεις ενσωματώθηκαν στις πρόσφατες εκδόσεις OpenVPN 2.6.17 και 2.7_rc3, με την ομάδα ανάπτυξης να προτρέπει τους διαχειριστές να αναβαθμίσουν άμεσα —ιδίως όσους χρησιμοποιούν Windows ή εργάζονται με δοκιμαστικές εκδόσεις της σειράς 2.7.
CVE-2025-13751: Η ευπάθεια DoS που «ρίχνει» την υπηρεσία στα Windows
Η σοβαρότερη απειλή για περιβάλλοντα Windows αφορά το CVE-2025-13751, ένα σφάλμα στη λειτουργία της Interactive Service. Σύμφωνα με την ομάδα του OpenVPN, το πρόβλημα προέρχεται από ένα εσφαλμένο exit routine. Όταν εμφανιστούν συγκεκριμένες συνθήκες σφάλματος, η υπηρεσία δεν ανακάμπτει όπως θα έπρεπε, αλλά τερματίζεται πλήρως, αφήνοντας το σύστημα χωρίς δυνατότητα δημιουργίας νέων VPN συνδέσεων.
Δείτε επίσης: Ευπάθεια στο Microsoft Azure API Management παρακάμπτει τους περιορισμούς διαχειριστών
Οποιοσδήποτε τοπικός χρήστης με έγκυρη πρόσβαση μπορεί να ενεργοποιήσει το σφάλμα. Σε τυπικά εταιρικά συστήματα πολλών χρηστών, αυτό μπορεί να οδηγήσει σε προσωρινή απώλεια σύνδεσης για ολόκληρα τμήματα δικτύου. Οι επηρεαζόμενες εκδόσεις περιλαμβάνουν όλες τις κυκλοφορίες από 2.6.0 έως 2.6.16, καθώς και τις δοκιμαστικές 2.7_alpha1 έως 2.7_rc2. Η λύση έχει ήδη ενσωματωθεί στις εκδόσεις 2.6.17 και 2.7_rc3, οι οποίες αποτρέπουν το απρόσμενο shutdown και καταγράφουν σωστά τα σφάλματα.
CVE-2025-13086: Παράκαμψη HMAC που θέτει σε κίνδυνο τη διαδικασία handshake
Ένα ακόμη σημαντικό ζήτημα, καταγεγραμμένο ως CVE-2025-13086, σχετίζεται με τον μηχανισμό επαλήθευσης HMAC στη διάρκεια του 3-way handshake. Ένα σφάλμα που οφείλεται σε inverted memcmp() call στον κώδικα οδήγησε το σύστημα στο να αποδέχεται όλα τα HMAC cookies, ανεξάρτητα από το αν ήταν έγκυρα.
Αυτό σημαίνει ότι ένας εισβολέας μπορούσε να παρακάμψει την αρχική διαδικασία ελέγχου προέλευσης της IP και να προσπαθήσει να ανοίξει TLS συνεδρίες που υπό κανονικές συνθήκες θα απορρίπτονταν. Το αποτέλεσμα; Πιθανή επιβάρυνση της κατάστασης του διακομιστή, εξάντληση πόρων και πιθανή δημιουργία κακόβουλων συνδέσεων στο πρώτο στάδιο του handshake.
Η νέα ενημέρωση όχι μόνο διορθώνει τη συμπεριφορά του memcmp(), αλλά εισάγει και αυστηρότερους ελέγχους χρονικών ορίων, απορρίπτοντας HMAC με timestamps από το μέλλον. Η ευπάθεια επηρεάζει τις εκδόσεις 2.6.0 έως 2.6.15 και αντιμετωπίζεται πλήρως από την έκδοση 2.6.16, η οποία εμπεριέχεται φυσικά και στην 2.6.17.
Δείτε επίσης: Android Ενημερώσεις Ασφαλείας: Διόρθωση 107 ευπαθειών
CVE-2025-12106: Buffer over-reads για IPv6 στη σειρά 2.7
Το τρίτο ζήτημα αφορά κυρίως όσους χρησιμοποιούν το development branch της σειράς 2.7. Το CVE-2025-12106 σχετίζεται με ένα λανθασμένο address family check στη συνάρτηση get_addr_generic. Εξαιτίας του σφάλματος, η εφαρμογή μπορούσε να προχωρήσει σε heap buffer over-read όταν λάμβανε μη έγκυρο IPv6 input.
Παρότι κάποιες αναφορές έδωσαν στη συγκεκριμένη ευπάθεια βαθμολογία CVSS 9.1, η ομάδα του OpenVPN διευκρινίζει ότι επηρεάζει μόνο εκδόσεις από 2.7_alpha1 έως 2.7_rc1 και δεν αφορά καθόλου το stable 2.6 branch. Παρόλα αυτά, η άμεση αναβάθμιση στην 2.7_rc3 θεωρείται απαραίτητη για την αποφυγή πιθανής αλλοίωσης μνήμης.
Δείτε επίσης: Η NVIDIA διόρθωσε κρίσιμες ευπάθειες στο DGX Spark
Τι πρέπει να κάνουν οι διαχειριστές και οι οργανισμοί
Οι ενημερώσεις ασφαλείας υπογραμμίζουν πόσο κρίσιμο είναι για εταιρικά δίκτυα, παρόχους VPN και administrators να διατηρούν τις υλοποιήσεις OpenVPN πλήρως ενημερωμένες. Προτείνεται:
- Αναβάθμιση σε OpenVPN 2.6.17 για όλους τους σταθερούς servers
- Ενημέρωση σε 2.7_rc3 για όσους χρησιμοποιούν development builds
- Έλεγχος υπηρεσιών στα Windows για ασυνήθιστους τερματισμούς
- Επανεξέταση ρυθμίσεων HMAC και logs handshake
- Επιτήρηση για ασυνήθιστες IPv6 καταγραφές στα συστήματα δοκιμών
Οι τρεις ευπάθειες δείχνουν ότι ακόμη και ώριμα, δοκιμασμένα έργα ανοιχτού κώδικα μπορούν να παρουσιάσουν κρίσιμα κενά. Η έγκαιρη αναβάθμιση παραμένει ο πιο αποτελεσματικός τρόπος προστασίας.
