OpenVPN 2.4.3 之前版本和 2.3.17 之前版本在收到格式錯誤的 IPv6 封包時，容易遭受遠端拒絕服務。(CVE-2017-7508) OpenVPN 2.4.3 之前版本和 2.3.17 之前版本容易遭受經驗證的遠端攻擊者透過傳送含有內嵌 NULL 字元的憑證發動的拒絕服務。(CVE-2017-7522) OpenVPN 2.4.3 之前版本和 2.3.17 之前版本容易遭受遠端拒絕服務，這是因為在 extract_x509_extension() 中的記憶體洩漏和雙重釋放問題而造成的記憶體耗盡所致。(CVE-2017-7521) OpenVPN 2.4.3 之前版本和 2.3.17 之前版本容易遭受由攔截式攻擊者所觸發的拒絕服務和/或可能的敏感記憶體洩漏。(CVE-2017-7520)

根據其自我報告的版本號碼，遠端 Windows 主機上安裝的 OpenVPN 版本是比 2.3.17 舊的 2.3.x 版，或是比 2.4.3 舊的 2.4.x 版。因此會受到因無效輸入驗證所導致的多個拒絕服務 (DoS) 弱點影響。未經驗證的遠端攻擊者可惡意利用此問題，透過傳送格式錯誤的輸入造成應用程式停止回應。

現已提供適用於 Slackware 13.0、13.1、13.37、14.0、14.1、14.2 和最新版本的新 openvpn 套件，可修正多個安全性問題。

Karthikeyan Bhargavan 和 Gaetan Leurent 發現 64 位元區塊加密法容易受到生日攻擊。遠端攻擊者可能會利用此問題復原純文字資料。若要修正此問題，需要將組態變更為不同的加密法。在使用 64 位元區塊加密法時，此更新會新增警告到記錄檔。此問題僅影響了 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 16.10。(CVE-2016-6329)

據發現，OpenVPN 未正確處理封包識別碼的變換。經驗證的遠端攻擊者可利用此問題造成 OpenVPN 損毀，進而導致拒絕服務。此問題僅影響 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 16.10。
(CVE-2017-7479)

Guido Vranken 發現 OpenVPN 未正確處理某些格式錯誤的 IPv6 封包。遠端攻擊者可利用此問題造成 OpenVPN 損毀，進而導致拒絕服務。
(CVE-2017-7508)

Guido Vranken 發現 OpenVPN 未正確處理記憶體。遠端攻擊者可利用此問題造成 OpenVPN 損毀，進而導致拒絕服務。(CVE-2017-7512)

Guido Vranken 發現 OpenVPN 未正確處理具 NTLM 驗證的 HTTP Proxy。遠端攻擊者可利用此問題造成 OpenVPN 用戶端損毀，進而導致拒絕服務或可能洩漏敏感記憶體內容。(CVE-2017-7520)

Guido Vranken 發現 OpenVPN 未正確處理某些 x509 延伸模組。遠端攻擊者可利用此問題造成 OpenVPN 損毀，進而導致拒絕服務。(CVE-2017-7521)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在虛擬私人網路應用程式 openvpn 中發現數個問題。CVE-2017-7479 發現 openvpn 未正確處理封包識別碼的變換。經驗證的遠端攻擊者可藉此透過應用程式損毀，造成拒絕服務問題。- CVE-2017-7508 Guido Vranken 發現 openvpn 未正確處理特定格式錯誤的 IPv6 封包。遠端攻擊者可藉此透過應用程式損毀，造成拒絕服務問題。- CVE-2017-7520 Guido Vranken 發現 openvpn 未正確處理連接至含有 NTLMv2 驗證之 HTTP proxy 的用戶端。遠端攻擊者可藉此透過應用程式損毀，造成拒絕服務，或可能洩漏如使用者 proxy 密碼之類的敏感資訊。- CVE-2017-7521 Guido Vranken 發現 openvpn 未正確處理某些 x509 延伸模組。遠端攻擊者可藉此透過應用程式損毀，造成拒絕服務問題。

ID	名稱	產品	系列	已發布	已更新	嚴重性
101064	Amazon Linux AMI : openvpn (ALAS-2017-852)	Nessus	Amazon Linux Local Security Checks	2017/6/28	2018/4/18	high
125262	OpenVPN 2.3.x < 2.3.17 & 2.4.x < 2.4.3 多個拒絕服務弱點 (Windows)	Nessus	Windows	2019/5/17	2019/10/30	high
100964	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 14.2 / 最新版本：openvpn (SSA:2017-172-01)	Nessus	Slackware Local Security Checks	2017/6/22	2021/1/14	critical
101024	Ubuntu 14.04 LTS / 16.04 LTS：OpenVPN 弱點 (USN-3339-1)	Nessus	Ubuntu Local Security Checks	2017/6/23	2023/10/20	critical
101067	Debian DSA-3900-1：openvpn - 安全性更新	Nessus	Debian Local Security Checks	2017/6/28	2021/1/4	high

偵測

搜尋 Plugin

high

high

critical

critical

high