CVE-2025-12106

OpenVPN: heap buffer over-read przy parsowaniu adresów IP

CVSS 9.1v3.1pub. 2025-12-01upd. 2025-12-30

Podatność w OpenVPN w wersjach 2.7_alpha1 do 2.7_rc1 pozwala nieuwierzytelnionemu atakującemu zdalnie wywołać heap buffer over-read podczas parsowania adresów IP. Błąd może skutkować ujawnieniem wrażliwych danych z pamięci procesu lub odmową usługi (DoS).

▸ Pokaż oryginał (EN)

Insufficient argument validation in OpenVPN 2.7_alpha1 through 2.7_rc1 allows an attacker to trigger a heap buffer over-read when parsing IP addresses

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji argumentów (CWE-126 — buffer over-read) przy przetwarzaniu adresów IP. Atakujący może dostarczyć specjalnie spreparowany wejściowy ciąg adresu IP, powodując odczyt danych poza granicą przydzielonego bufora na stercie (heap). Operacja nie wymaga uwierzytelnienia ani interakcji użytkownika, co znacznie obniża próg wejścia dla atakującego.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych z pamięci procesu OpenVPN (np. kluczy sesji, danych konfiguracyjnych) oraz doprowadzić do awarii usługi VPN (odmowa usługi). Kombinacja wysokiego wpływu na poufność i dostępność skutkuje oceną CVSS 9.1.

Mitygacja

Należy powstrzymać się od używania wersji alpha/RC gałęzi 2.7 w środowiskach produkcyjnych oraz zastosować patche dostępne u producenta zgodnie z referencjami (https://community.openvpn.net/Security%20Announcements/CVE-2025-12106). Zaleca się powrót do stabilnej, wspieranej gałęzi OpenVPN do czasu wydania poprawionej wersji 2.7.