CVE-2024-5594

OpenVPN: Wstrzyknięcie danych przez nieoczyszczone wiadomości PUSH_REPLY

CVSS 9.1v3.1pub. 2025-01-06upd. 2025-11-03

OpenVPN w wersjach przed 2.6.11 nieprawidłowo oczyszcza wiadomości PUSH_REPLY, co pozwala atakującemu kontrolującemu serwer na wstrzyknięcie dowolnych danych do logów klienta. Podatność jest oceniana jako krytyczna ze względu na brak wymaganych uprawnień i możliwość zdalnego wykorzystania.

▸ Pokaż oryginał (EN)

OpenVPN before 2.6.11 does not santize PUSH_REPLY messages properly which an attacker controlling the server can use to inject unexpected arbitrary data ending up in client logs.

🤖 Analiza AI

Jak działa

Podatność wynika z braku właściwej sanityzacji (walidacji i oczyszczania) treści wiadomości PUSH_REPLY przesyłanych przez serwer do klientów OpenVPN. Atakujący, który kontroluje serwer VPN (np. serwer skompromitowany lub złośliwy punkt końcowy VPN), może osadzić w tych wiadomościach nieoczekiwane, dowolne dane. Dane te trafiają bez filtrowania do logów po stronie klienta, co może prowadzić do ich manipulacji lub zaciemnienia.

Skutki

Atakujący kontrolujący serwer może wstrzykiwać dowolne dane do logów klienta OpenVPN, co może prowadzić do manipulacji zapisami audytowymi oraz naruszenia poufności i integralności danych logowania. Skutki obejmują zaciemnienie śladów złośliwej aktywności oraz potencjalne dalsze ataki oparte na treści logów.

Mitygacja

Należy zaktualizować OpenVPN do wersji 2.6.11 lub nowszej. Szczegółowe informacje dostępne są w oficjalnym komunikacie projektu pod adresem https://community.openvpn.net/openvpn/wiki/CVE-2024-5594. Użytkownicy dystrybucji Debian powinni zainstalować patche opisane w komunikacie bezpieczeństwa Debian LTS.

Kogo dotyczy

OpenVPN we wszystkich wersjach przed 2.6.11

Uwagi

Podatność dotyczy scenariusza, w którym atakujący kontroluje serwer OpenVPN — ryzyko wzrasta w przypadku korzystania z publicznych lub zewnętrznych serwerów VPN. CWE-1287 wskazuje na nieprawidłową walidację określonego typu danych wejściowych.