Bulletin d'alerte Debian

DSA-3900-1 openvpn -- Mise à jour de sécurité

Date du rapport :
27 juin 2017
Paquets concernés :
openvpn
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 865480.
Dans le dictionnaire CVE du Mitre : CVE-2017-7479, CVE-2017-7508, CVE-2017-7520, CVE-2017-7521.
Plus de précisions :

Plusieurs problèmes ont été découverts dans openvpn, une application de réseau privé virtuel.

  • CVE-2017-7479

    Openvpn ne gérait pas correctement le renouvellement des identifiants de paquet. Cela pourrait permettre à un attaquant distant authentifié de provoquer un déni de service par plantage de l'application.

  • CVE-2017-7508

    Guido Vranken a découvert qu'openvpn ne gérait pas correctement des paquets IPv6 malformés particuliers. Cela pourrait permettre à un attaquant distant de provoquer un déni de service par plantage de l'application.

  • CVE-2017-7520

    Guido Vranken a découvert qu'openvpn ne gérait pas correctement des clients se connectant à un mandataire HTTP avec une authentification NTLMv2. Cela pourrait permettre à un attaquant distant de provoquer un déni de service par plantage de l'application, ou éventuellement la divulgation d'informations sensibles telles que le mot de passe du mandataire de l'utilisateur.

  • CVE-2017-7521

    Guido Vranken a découvert qu'openvpn ne gérait pas correctement certaines extensions x509. Cela pourrait permettre à un attaquant distant de provoquer un déni de service par plantage de l'application.

Pour la distribution oldstable (Jessie), ces problèmes ont été corrigés dans la version 2.3.4-5+deb8u2.

Pour la distribution stable (Stretch), ces problèmes ont été corrigés dans la version 2.4.0-6+deb9u1.

Pour la distribution testing (Buster), ces problèmes ont été corrigés dans la version 2.4.3-1.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 2.4.3-1.

Nous vous recommandons de mettre à jour vos paquets openvpn.