Microsoft 研究人員近日揭露多個中度嚴重性漏洞,影響廣泛使用的開源 VPN 方案 OpenVPN。這些漏洞可能危及全球無數路由器、電腦及智能裝置的安全。研究團隊指出,攻擊者若利用這些漏洞,可能執行遠端程式碼並提升權限,未經授權存取可能多達數百萬台裝置。他們展示了如何將這些漏洞串連,形成強大的攻擊序列,最終可完全控制受影響裝置。
![openvpn](https://twstatic.newmobilelife.com/wp-content/uploads/2024/08/openvpn-1024x612.jpg)
複雜攻擊手法需要用戶認證
這種複雜的攻擊手法需要用戶認證,以及對 OpenVPN 架構的深入理解,突顯了實施強大安全措施的必要性。
OpenVPN 廣泛應用於多個平台
OpenVPN 在 Windows、iOS、macOS、Android 和 BSD 等多個平台上廣泛使用,是全球數千家企業的關鍵安全工具。這些漏洞影響 OpenVPN 2.6.9 和 2.5.9 以下所有版本,對未受保護的終端點和企業系統構成嚴重風險。
![openvpn str](https://twstatic.newmobilelife.com/wp-content/uploads/2024/08/openvpn-str.jpg)
OpenVPN 已釋出修復版本
這些漏洞於 2024 年 3 月通過 Microsoft 的協調漏洞披露計劃報告,OpenVPN 已在最新版本(2.6.10 和 2.5.10)中修復。用戶應立即更新系統以降低潛在風險。
四個主要漏洞詳情
被披露的漏洞包括:
- CVE-2024-27459:可能導致 Windows 平台拒絕服務(DoS)和本地權限提升(LPE)。
- CVE-2024-24974:允許在 Windows 上未經授權存取。
- CVE-2024-27903:在 Android、iOS、macOS 和 BSD 平台上啟用遠端程式碼執行(RCE)和本地權限提升(LPE)。
- CVE-2024-1305:通過 Windows TAP 驅動程式導致拒絕服務(DoS)。
Microsoft 呼籲盡快更新系統
Microsoft 提供詳細的緩解策略,並強調應用最新修補程式的重要性。該公司也讚揚 OpenVPN 迅速回應並合作解決這些問題,再次強調負責任的漏洞披露對維護全球網絡安全的重要性。