کشف آسیب‌پذیری در OpenVPN ویندوز
یک آسیب‌پذیری با شناسه CVE-2024-27903 و شدت بحرانی 9.8 در OpenVPN plug-ins شناسایی شده است. نسخه ۲.۶.۹ و قبل‌تر OpenVPN را می‌توان در هر پوشه‌ای از سیستم‌عامل ویندوز اجرا کرد؛ در نتیجه مهاجم امکان اجرای افزونه را از هر پوشه‌ای دارد که این امر می‌تواند منجر به دسترسی غیرمجاز به سرویس تعاملی OpenVPN با سطح دسترسی بالاتر میشود. بر اساس بردار حمله این آسیب‌پذیری CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H، بهره‌برداری از آن از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N) و نیازمند هیچ پیش‌زمینه‌ای نبوده و به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز نیست(AC:L)، برای انجام حمله به هیچ حساب کاربری با سطح دسترسی خاصی نیاز نیست (PR:N) و به تعامل با کاربر نیاز ندارد (UI:N). بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (S:U). در بدترین شرایط (قربانی شدن کاربری با سطح دسترسی ادمین)، هر سه ضلع امنیت با شدت بالا تحت تأثیر قرار می‌گیرند (C:H و I:H و A:H).
نسخه ۲.۶.۹ و پایین‌تر OpenVPN آسیب‌پذیر می‌باشند.
به کاربران توصیه میشود که OpenVPN ویندوز را به آخرین نسخه (۲.۶.۱۰ یا ۲.۵.۱۰) به‌روزرسانی کرده و اقدامات لازم را جهت محافظت از سیستم‌های خود انجام دهند.