S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 03 novembre 2005
N° CERTA-2005-AVI-435-002
Affaire suivie par: CERT-FR
le 03 novembre 2005

Avis du CERT-FR

Objet: Vulnérabilité du système de réseau privé virtuel OpenVPN

Gestion du document

Référence CERTA-2005-AVI-435-002
Titre Vulnérabilité du système de réseau privé virtuel OpenVPN
Date de la première version 03 novembre 2005
Date de la dernière version 09 novembre 2005
Source(s) Aucune
Pièce(s) jointe(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service en mode serveur,
  • exécution de code arbitraire à distance en mode client.

Systèmes affectés

OpenVPN versions 2.0 antérieures à la 2.0.4 :

  • pour les versions Unix en mode client,
  • pour les versions Unix comme Windows en mode serveur.

Résumé

Deux vulnérabilités ont été identifiées dans le code d'OpenVPN. L'une permet d'exécuter du arbitraire sur un client se connectant à un serveur malicieux.

Description

OpenVPN est une solution de réseau privé virtuel, existant pour Unix et Windows, et utilisant SSL/TLS pour assurer la phase d'authentification.

Une vulnérabilité dans une chaîne de format peut être utilisée pour exécuter du code arbitraire sur une station cliente se connectant à un serveur volontairement malicieux ou préalablement compromis (CVE-2005-3393).

Une faille dans le mode serveur avec transport TCP peut provoquer l'arrêt du serveur lors d'une connexion (CVE-2005-3409).

Solution

Se reporter au bulletin de l'éditeur pour l'obtention des correctifs (cf. Documentation) ou mettre à jour les sources en version 2.0.4 au moins.

Documentation

Gestion détaillée du document

    le 03 novembre 2005
    version initiale.
    le 08 novembre 2005
    ajout des références aux bulletins de sécurité Gentoo, Debian et SUSE.
    le 09 novembre 2005
    ajout de la référence au bulletin de sécurité Mandriva MDKSA-2005:206.