OpenVPN Access Server Desktop Client уязвим

    image
    Разработчики OpenVPN рекомендуют пользователям, которые используют клиент для рабочего стола, произвести немедленное обновление. Связано это с возможностью осуществления атаки типа CSRF, при помощи которой, злоумышленники могут получить удаленный доступ к компьютеру жертвы.


    Австрийские исследователи безопасности обнаружили данную уязвимость еще в мае этого года. При использовании устаревшего программного обеспечения, посещая вредоносный сайт, пользователь рискует предоставить доступ к своему ПК.

    OpenVPN Access Server состоит из двух частей:
    1) Сервис, который предоставляет возможности взаимодействия между сервером и пользователем в виде XML-RPC.
    2) Пользовательский интерфейс, который подключается к сервису через API.

    XML-RPC API уязвимо к межсайтовой подделке запросов (CSRF). Использование некоторых API команд, позволяет злоумышленнику получить реальный IP-адрес жертвы, перенаправить трафик на собственные сервера (MITM атака), а также добиться выполнения произвольного кода с системными привилегиями на компьютере пользователя.
    OpenVPN предоставляет несколько различных VPN и сервисов безопасности, но только десктопный клиент под Windows является уязвимым.

    Все клиенты использующие приложение для рабочего стола на Windows должны сменить его на OpenVPN Connect.

    Видео с демонстрацией уязвимости

    Similar posts

    Ads
    AdBlock has stolen the banner, but banners are not teeth — they will be back

    More

    Comments 5

      +5
      Можно ссылку на первоисточник? Не понятно, в частности, о каком именно клиенте идет речь. Например, у меня стоит клиент под названием OpenVPN GUI:
      community.openvpn.net/openvpn/wiki/OpenVPN-GUI
          0
          Чтоб далеко не ходить, уязвим OpenVPN Access Server Desktop Client версии 1.5.6 и все другие
          Vulnerable / tested versions:

          The vulnerabilities have been verified to exist in OpenVPN Access Server
          «Desktop Client» version 1.5.6, which was the most recent version at the time
          of discovery.

          All other versions of the product are affected as well.

          0
          ЕМНИП, Community никакого отношения к Access Server не имеет.
          0
          The OpenVPN Access Server «Desktop Client» consists of two parts, a Windows service that offers an XML-RPC API via a webserver on localhost and a GUI component that connects to this API.
          Звучит немного безумно. Я правильно понял, что клиент для своей работы поднимает вебсервер, и уже потом gui к нему подключается?
          В любом случае какая опасность от вебсервера ограниченного локалхостом?

          Only users with full accounts can post comments. Log in, please.