Vulnerabilitatea OpenVPN Connect permite accesarea cheilor private ale utilizatorilor

O nouă vulnerabilitate, identificată drept CVE-2024-8474, a fost descoperită în OpenVPN Connect, un software client VPN popular.

Vulnerabilitate ar putea permite atacatorilor să acceseze cheile private ale utilizatorilor, putând compromite confidențialitatea traficului lor VPN.

Aceasta afectează toate versiunile OpenVPN Connect anterioare versiunii 3.5.0 și a fost clasificată ca având un grad de severitate high.

Vulnerabilitatea se datorează gestionării necorespunzătoare a informațiilor sensibile în cadrul aplicației. Mai exact, OpenVPN Connect înregistrează cheia privată din profilurile de configurare în text clar în jurnalele aplicației sale.

Aceste jurnale pot fi accesate de către atacatori neautorizați care obțin acces la dispozitiv sau la sistemul său de fișiere, ceea ce le permite să recupereze cheia privată. Cu ajutorul acesteia, atacatorii pot decripta traficul VPN interceptat, subminând comunicarea sigură pe care VPN-urile sunt concepute să o ofere.

Vulnerabilitatea afectează în primul rând platformele Android, dar poate prezenta riscuri pe alte sisteme, în funcție de modul în care sunt gestionate și accesate jurnalele.

OpenVPN a confirmat vulnerabilitatea și a lansat o actualizare în versiunea 3.5.0 a OpenVPN Connect. Utilizatorii sunt insistent sfătuiți să își actualizeze software-ul imediat pentru a reduce riscul de exploatare.

În plus față de actualizarea software-ului, utilizatorii și organizațiile ar trebui să ia în considerare implementarea următoarelor măsuri:

• Gestionarea jurnalelor: revizuiți periodic și securizați jurnalele aplicațiilor pentru a preveni accesul neautorizat;
• Controlul accesului: limitați accesul la dispozitivele care rulează OpenVPN Connect și asigurați-vă că sunt implementate mecanisme de autentificare puternice;
• Segmentarea rețelei: izolați dispozitivele conectate la VPN de sistemele critice pentru a minimiza daunele potențiale în caz de compromitere.

Această constatare evidențiază importanța gestionării corecte a datelor sensibile în cadrul aplicațiilor. Deși OpenVPN este recunoscut pe scară largă pentru protocoalele sale complexe de criptare, acest incident evidențiază modul în care problemele auxiliare, cum ar fi practicile necorespunzătoare de înregistrare, pot submina securitatea generală.

Sursă: https://cybersecuritynews.com/openvpn-connect-private-key/