Categories: Sicherheit

Sicherheitslücken in OpenVPN entdeckt

Sicherheitsforscher Guido Vranken hat neben weniger kritischen vier bedeutende Schwachstellen in OpenVPN entdeckt, die bei zwei vorhergehenden Überprüfungen des Programmcodes nicht bemerkt wurden. In einem Blogeintrag beschreibt er die Sicherheitslücken ausführlich mit Code-Beispielen.

Eine der entdeckten Schwachstellen könnte genutzt werden, um durch das Senden präparierter Daten einen OpenVPN-Server aus der Ferne zum Absturz zu bringen. Eine weitere kann zu Speicherlecks bei der Verarbeitung von Zertifikaten führen. Angreifer könnten unter Umständen eine mehrfache Deallokation (Double-Free) bewirken.

Eigentlich ist OpenVPN für seine stabile Basis und seine Sicherheit bekannt und kommt deshalb oft zum Einsatz, wenn Unternehmen einen eigenen VPN-Server im Netzwerk aufbauen. Beliebt machen die Open-Source-Lösung auch die geringen Ansprüche an die Hardware sowie die Unterstützung zahlreicher Clients. Neben Clients für Windows und Linux stehen auch Clients für die Anbindung von OS X, Solaris, OpenBSD, FreeBSD und NetBSD zur Verfügung. Die Konfiguration sicherer und stabiler VPN-Server mit OpenVPN ist jedoch relativ komplex.

Auch eine vorhergehende Härtung des OpenVPN-Codes, die im Namen des holländischen Geheimdienstes AIVD vorgenommen wurde, hatte die Schwachstellen nicht beseitigt. Entdecker Vranken informiert außerdem darüber, wie er auf sie gestoßen ist. Beauftragte Code-Audits sind seiner Meinung nach nicht immer der beste Weg, um Schwachstellen zu finden.

Guido Vranken ging seiner Arbeit aus freien Stücken und ohne Bezahlung nach und machte seine Entdeckungen vor allem mithilfe einer als Fuzz Testing oder Fuzzing bezeichneten Technik. Durch die Eingabe großer Mengen zufälliger Daten in ein System – mit dem Ziel, einen Absturz auszulösen – lassen sich Programmierfehler in Software, Betriebssystemen oder Netzwerken aufdecken. Tritt ein Fehler auf, kann ein Fuzz Tester oder Fuzzer genanntes Tool Hinweise auf die möglichen Ursachen liefern. Das Fuzzing wurde bereits 1989 an der University of Wisconsin-Madison entwickelt.

Bernd Kling

Recent Posts

Zertifikatsfehler: macOS X Catalina stuft HP-Druckertreiber als schädlich ein

Apple zieht das Zertifikat des Druckertreibers ohne Angaben von Gründen zurück. Betroffen ist auch macOS…

44 Minuten ago

Update für Windows 10 entfernt Adobe Flash Player

Es steht bisher nur im Microsoft Update Catalog zum Download bereit. Die in den Microsoft-Browsern…

2 Stunden ago

AMD stellt RDNA2-Grafikkarten-Generation RX 6000 vor

AMDs jüngste Grafikkarten-Generation basiert auf der RDNA2-Architektur. Den Anfang machen die Radeon RX 6800, RX…

9 Stunden ago

Ugreen-USB-C-Netzteile mit 65 Watt ausprobiert

Dank Support von Programmable Power Supply (PPS) sind die beiden Ugreen-Modelle besonders gut für das…

15 Stunden ago

LobbyControl: Facebook und Co. legen Mitgliedschaften offen

Die zunehmende Bedeutung der Lobbyarbeit von Digitalkonzernen in Europa spiegelt sich in deren Lobbyausgaben wider.…

17 Stunden ago

Eset: Cyberkriminelle nehmen Mitarbeiter im Home-Office ins Visier

Die Angriffe erfolgen zumeist über das RDP-Protokoll. Allein im deutschsprachigen Raum registrieren die Eset-Forscher rund…

21 Stunden ago