PT-2024-5857 · Openvpn+7 · Openvpn+7
Reynir Björnsson
·
Publicado
2024-05-14
·
Atualizado
2025-08-31
·
CVE-2024-5594
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do OpenVPN anteriores à 2.6.11
Descrição
O problema está relacionado à falta de sanitização adequada das mensagens PUSH REPLY, o que pode ser explorado por invasores para injetar dados arbitrários inesperados em executáveis ou plug-ins de terceiros. Isso pode afetar potencialmente a confidencialidade, a integridade e a disponibilidade das informações protegidas. Um par malicioso do OpenVPN pode enviar lixo para o log do OpenVPN ou causar alta carga na CPU enviando mensagens do canal de controle com caracteres não imprimíveis.
Recomendações
Para versões do OpenVPN anteriores à 2.6.11, atualize para a versão 2.6.11 ou posterior para eliminar o risco. Como solução alternativa temporária, considere rejeitar mensagens do canal de controle que contenham caracteres não imprimíveis para minimizar o risco de exploração. Restrinja o acesso ao canal de controle para impedir que pares OpenVPN maliciosos enviem dados inválidos para o log ou causem alta carga na CPU. Evite usar a mensagem
PUSH REPLY até que o problema seja resolvido.Correção
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Debian
Linuxmint
Openvpn
Red Os
Suse
Ubuntu