Neue kritische Lecks in OpenVPN

Netzwerk-ManagementNetzwerke

Ein bezahlter Sicherheitsaudit konnte die Lecks nicht zu Tage fördern. Angreifer können Server zum Absturz bringen oder Speicherlecks ausnutzen.

OpenVPN leidet derzeit offenbar unter mehreren Schwachstellen. Vier davon sollen kritisch sein, wie Sicherheitsforscher Guido Vranken bei einer Analyse des Codes von OpenVPN herausgefunden haben will. Vorausgehende Überprüfungen hatten diese Lecks nicht zu tage gefördert. Vranken zeigt die Lecks in einem Blog zusammen mit Code-Beispielen.

Ein Leck lässt sich durch das Senden präparierter Daten an einen OpenVPN-Server ausnutzen. Der betroffene Server lässt sich somit zum Absturz zu bringen. Ein weiterer Fehler kann zu Speicherlecks bei der Verarbeitung von Zertifikaten führen. Angreifer könnten unter Umständen eine mehrfache Deallokation (Double-Free) bewirken.

openvpn_

OpenVPN wird aufgrund der stabilen Basis und Sicherheit geschätzt und wird daher auch gerne im Unternehmensumfeld eingesetzt, wenn eigene VPN-Server im Netzwerk aufgebaut werden. Beliebt machen die Open-Source-Lösung auch die geringen Ansprüche an die Hardware sowie die Unterstützung zahlreicher Clients. Neben Clients für Windows und Linux stehen auch Clients für die Anbindung von OS X, Solaris, OpenBSD, FreeBSD und NetBSD zur Verfügung. Die Konfiguration sicherer und stabiler VPN-Server mit OpenVPN ist jedoch relativ komplex.

Ausgewählte Whitepaper

Was CEBP ist und wie es Ihrem Unternehmen helfen kann

Mittelständische Unternehmen haben in der Regel schon erhebliche Summen in CRM- und ERP-Systeme investiert. Zwar wurden damit viele strategische Ziele erreicht, ein wichtiger Aspekt lässt häufig aber immer noch zu wünschen übrig: der Kundenservice. Genau hier verspricht CEBP deutliche Verbesserungen und Effizienzsteigerungen.

Auch eine vorhergehende Härtung des OpenVPN-Codes, die im Namen des holländischen Geheimdienstes AIVD vorgenommen wurde, hatte die Schwachstellen nicht beseitigt. Entdecker Vranken kritisiert daher auch, dass beauftragte Code-Audits nicht immer der beste Weg seien, um Schwachstellen zu finden.

Mehr zum Thema

Leidet Ihr Unternehmen auch an Dokumentenfrust?

Kostenloses E-Book: Das Statistikportal statista hat 1000 Büroangestellte zum Thema Zufriedenheit mit Dokumentenprozessen befragt. Erfahren Sie hier, wie ein Dokumentenmanagement-System (DMS) Ihnen helfen kann, Dokumentenfrust abzubauen und wie Sie ein DMS am effektivsten implementieren.

Guido Vranken hingegen hatte die Überprüfung freiwillig vorgenommen. Er verwendete dafür eine Technik, die als Fuzz Testing oder Fuzzing bekannt ist. Durch die Eingabe großer Mengen zufälliger Daten in ein System – mit dem Ziel, einen Absturz auszulösen – lassen sich Programmierfehler in Software, Betriebssystemen oder Netzwerken aufdecken. Tritt ein Fehler auf, kann ein Fuzz Tester oder Fuzzer genanntes Tool Hinweise auf die möglichen Ursachen liefern. Das Fuzzing wurde bereits 1989 an der University of Wisconsin-Madison entwickelt.

[mit Material von Bernd Kling, ZDNet.de]

Umfrage

Wo setzen Sie bei der Effizienzsteigerung ihrer Infrastruktur die höchste Priorität?

Ergebnisse

Loading ... Loading ...
Anklicken um die Biografie des Autors zu lesen  Anklicken um die Biografie des Autors zu verbergen