Az OpenVPN projekt kiadta a 2.7.6-os verziót. Ez egy biztonsági és karbantartási frissítés, amely két sebezhetőséget javít a Windows szolgáltatásban és az mbedTLS-alapú buildekben, valamint több javítást hoz a DCO-hoz, a TLS kézfogásokhoz, a csomagméretezéshez és a VLAN-forgalom kezeléséhez.

Az első sebezhetőség, CVE-2026-63649 néven, az openvpnserv komponenst érinti, vagyis azt az OpenVPN szolgáltatást, amelyet Windows alatt használnak. A problémát az okozta, hogy a szolgáltatás vezérlő socketjén keresztül a fő OpenVPN folyamatnak átadott parancssor ellenőrzése nem volt elég szigorú.

Bizonyos körülmények között ez lehetővé tehette a felhasználók számára, hogy megkerüljék az adminisztrátor által meghatározott korlátozásokat arra vonatkozóan, mely könyvtárak tartalmazhatnak OpenVPN konfigurációs fájlokat. A fejlesztők ugyanakkor hangsúlyozzák, hogy a probléma nem tette lehetővé fájlok olvasását a szükséges operációs rendszer jogosultságok nélkül.

A második biztonsági probléma, a CVE-2026-63650, az --x509-username-field opciót érinti, amikor az OpenVPN-t mbedTLS-sel fordítják. Nagyon speciális, olyan hitelesítésszolgáltatói beállítások mellett, amelyek képesek egymáshoz illeszkedő tanúsítványokat kiadni, a hiba ahhoz vezethetett, hogy az OpenVPN olyan tanúsítványt is elfogadjon, amelyet el kellett volna utasítania.

Az OpenVPN fejlesztői ezt alacsony prioritású biztonsági problémának minősítik, mert a kihasználásához szokatlan tanúsítvány- és CA-beállítások kombinációjára van szükség. A viselkedés azonban elég súlyos volt ahhoz, hogy CVE azonosítót kapjon, és az OpenVPN 2.7.6-ban már javították.

Egy további, biztonsággal összefüggő változtatás javítja, hogyan kezeli az OpenVPN a kulcsállapotok szinkronizálását Data Channel Offload (DCO) használatakor.

A biztonsági javításokon túl a kiadás több, a felhasználók számára is látható változást hoz. Ha a --dev opciót kihagyják, az OpenVPN mostantól automatikusan a --dev tun beállítást veszi alapul, így a szabványos TUN interfészt használó konfigurációkban ezt már nem kell külön megadni.

A --ping és --keepalive beállításokkal megadható értékeket mostantól 24 órában korlátozzák. A fejlesztők szerint ez a korlát azért szükséges, hogy a DCO kernel megvalósítása ne bonyolódjon feleslegesen, amikor nagyon nagy értékeket kellene kezelni 32 bites egész szám túlcsordulása nélkül.

Ezen felül a TCP_NODELAY socket flaget mostantól feltétel nélkül bekapcsolják, vagyis letiltják a Nagle-algoritmust a TCP kapcsolatoknál. Így a kis csomagokat azonnal elküldi a rendszer, ahelyett hogy összevárná és csoportosítaná őket.

Az OpenVPN 2.7.6 több alacsony szintű hálózati problémát is javít. A szerverek mostantól elutasítják azokat a bejövő HARD RESET csomagokat, amelyek szekvenciaazonosítója nem nulla. Az ilyen csomagok érvénytelen kliensviselkedést jelentenek, és korábban megzavarhatták a TLS kézfogások felépítését pont-pont TLS konfigurációkban.

Javítottak egy csomagméret-számítási hibát is, amely az epoch csomagformátumot érintette. Ha a kapcsolat mindkét oldalán OpenVPN 2.7 vagy újabb futott, a számított csomagazonosító mérete négy bájttal kisebb volt a kelleténél.

Végül ez a kiadás helyesbíti az IEEE 802.1Q címkézett VLAN csomagok minimális csomaghossz-ellenőrzését. Ha engedélyezték a --client-nat opciót, az OpenVPN akár négy bájttal is túlfuthatott a csomag jelentett végét jelző határon.

További részletekért nézd meg a changelogot.