18-11-2009

El problema permitía inyección de texto plano en la renegociación de las sesiones.

Sistemas afectados:

Versiones de OpenVPN anteriores a la 2.1_rc21

Riesgo:   Bajo

Descripción:

OpenVPN ha publicado una actualización para responder a la vulnerabilidad de OpenSSL que se describe en CVE-2009-3555 y que ya publicó CSIRT-CV anteriormente. OpenVPN ha identificado una vulnerabilidad causada por un error de OpenSSL que podría ser explotada por atacantes remotos para manipular algunos datos e informaciones.

Solución:

Actualizar a la versión 2.1_rc21 de OpenVPN desde:
http://openvpn.net/index.php/open-source/downloads.html

Referencias:

CVE-2009-3555

Más información:

https://www.csirtcv.es/es/alerts/1130/
http://isc.sans.org/diary.html?storyid=7603
http://www.vupen.com/english/advisories/2009/3254
http://article.gmane.org/gmane.network.openvpn.devel/2835

Fuente:   Internet Storm Center http://isc.sans.org/