PT-2026-34452 · Unknown · Openvpn-Auth-Oauth2

Kkalev · Publicado 2026-04-22 · Atualizado 2026-05-20 · CVE-2026-41070

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions openvpn-auth-oauth2 versões 1.26.3 até 1.27.2

Description Existe uma falha de bypass de autenticação quando o software é implantado no modo de plugin experimental. Clientes que não suportam WebAuth/SSO recebem incorretamente acesso total à rede sem completar a autenticação OIDC. Isso ocorre porque a função handleAuthUserPassVerify em lib/openvpn-auth-oauth2/openvpn/handle.go retorna OPENVPN PLUGIN FUNC SUCCESS mesmo quando um cliente é negado. O OpenVPN interpreta este código de retorno como autenticação bem-sucedida, ignorando o comando de negação escrito no auth control file, a menos que o plugin retorne FUNC DEFERRED.

Recommendations Atualize o openvpn-auth-oauth2 para a versão 1.27.3. Alterne para o modo de cliente de gerenciamento independente. Restrinja o acesso à VPN no nível da rede apenas para clientes que comprovadamente suportam WebAuth/SSO.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2026-41070

GHSA-246W-JGMQ-88FG

GO-2026-4963

Produtos afetados

Openvpn-Auth-Oauth2

Referências · 27

• https://github.com/OpenVPN/openvpn/blob/master/include/openvpn-plugin.h.in · Nota
• https://github.com/OpenVPN/openvpn3/blob/master/doc/webauth.md · Nota
• https://github.com/jkroepke/openvpn-auth-oauth2/pull/829 · Nota
• https://github.com/jkroepke/openvpn-auth-oauth2/releases/tag/v1.27.3 · Nota
• https://github.com/jkroepke/openvpn-auth-oauth2/commit/36f69a6c67c1054da7cbfa04ced3f0555127c8f2 · Nota
• https://github.com/jkroepke/openvpn-auth-oauth2/security/advisories/GHSA-246w-jgmq-88fg · Nota
• https://github.com/jkroepke/openvpn-auth-oauth2 · Nota
• https://twitter.com/cybrsecpath/status/2053428247040561510 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054269569431154996 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-41070 · Nota de Segurança
• https://twitter.com/pulsepatchio/status/2047155452438311236 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-41070 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-246w-jgmq-88fg · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2052810978702582113 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054269570240675997 · Publicação no Twitter