このopenvpnの更新では、次の問題が修正されます：

  - CVE-2016-6329：openvpnで今後使用すべきではない暗号を表示します

    --show-ciphers（bsc#995374）

  - CVE-2017-7478：openvpn：認証されたユーザーが、P_CONTROLで大きなペイロードを使用することで、サーバーをDoSする可能性があります（bsc#1038709）

  - CVE-2017-7479：openvpn：パケットIDカウンターの枯渇によるサービス拒否（bsc#1038711）

  - 内部監査で見つかった強化策（bsc#1038713）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新により、最新のOpenVPN v2.4.2リリースが導入されます。このリリースには、2つの認証されたリモートDoSの脆弱性に対する修正が含まれています（CVE-2017-7478およびCVE-2017-7479）。詳細については、Upstreamの[セキュリティアナウンス]（http://community.openvpn.net/openvpn/wiki/QuarkslabAndCr yptographyEngineerAudits）を参照してください。

このビルドは、compat-openssl10とcompat-openssl10-pkcs11-helperを使用して、OpenSSL 1.0に戻ります。これは、OpenSSL 1.1の完全なサポートがOpenVPNに到着するまでの一時的なものです。これにより、mbed TLSで欠落している機能または適切に動作しない機能に関する多数の問題も解決されるはずです。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

OpenVPNが特定の状況で大きすぎる制御パケットを受信する時にアサートを不適切にトリガーすることがわかりました。リモートの攻撃者がこれを悪用して、サービス拒否（サーバーまたはクライアントのクラッシュ）を引き起こす可能性があります。（CVE-2017-7478）パケットIDがロールオーバーしたときにOpenVPNが不適切にアサートをトリガーすることがわかりました。認証されたリモートの攻撃者がこれを悪用して、サービス拒否（アプリケーションクラッシュ）を引き起こす可能性があります。（CVE-2017-7479）注意：Tenable Network Securityは、前述の説明ブロックをUbuntuセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

According to its self-reported version number, the version of OpenVPN installed on the remote Windows host is 2.3.12 prior to 2.3.15 or 2.4.x prior to 2.4.2. It is, therefore, affected by a denial of service (DoS) vulnerability due to invalid packet processing logic. 認証されていないリモートの攻撃者がこの問題を悪用し、大きな制御パケットを送信することによって、アプリケーションの応答を停止させる可能性があります。

このopenvpnの更新では、次の問題が修正されます：

  - CVE-2016-6329：openvpn --show-ciphersで今後使用すべきではない暗号を表示します（bsc#995374）

  - CVE-2017-7478：openvpn：認証されたユーザーが、P_CONTROLで大きなペイロードを使用することで、サーバーをDoSする可能性があります（bsc#1038709）

  - CVE-2017-7479：openvpn：パケットIDカウンターの枯渇によるサービス拒否（bsc#1038711）

  - 内部監査で見つかった強化策（bsc#1038713）

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

このopenvpnの更新では、次のセキュリティ問題が修正されます：

  - CVE-2017-12166: OpenVPNには、key-method 1の使用時にバッファオーバーフローの脆弱性がありました。この脆弱性により、コードが実行される可能性がありました。（bsc#1060877）。

  - CVE-2016-6329:SWEET32攻撃を回避するため、openvpn --show-ciphersで今後使用すべきではない暗号を表示します（bsc#995374）

  - CVE-2017-7478: OpenVPNは、受信した大きな制御パケットによるサーバーの認証されていないサービス拒否に対して脆弱でした（bsc#1038709）

  - CVE-2017-7479: パケットIDカウンターがロールオーバーしたときにOpenVPNが到達可能なアサーションに対して脆弱でした。これにより、認証された攻撃者によってサーバーのサービス拒否が引き起こされる可能性がありました。（bsc#1038711）

  - その他のいくつかの強化修正も適用されています（bsc#1038713）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

2つのリモートのDoS問題のセキュリティフィックス（CVE-2017-7478、CVE-2017-7479）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Samuli Seppanenによる報告:

OpenVPN v2.4.0は、2016年12月から2017年4月の間に、Quarkslabs（OSTIFが助成）とCryptography Engineering（Private Internet Accessが助成）により、セキュリティの脆弱性について個別に監査されました。主な発見は、2つのリモートのサービス拒否の脆弱性でした。
これらの脆弱性に対する修正は、v2.3.15にバックポートされています。

認証されたクライアントは、「スリーウェイハンドシェイク」（P_HARD_RESET、P_HARD_RESET、P_CONTROL）を実行できます。この場合、P_CONTROLパケットがペイロードを伝送できる最初のパケットです。そのペイロードが大きすぎる場合、ASSERT()例外によりOpenVPNサーバープロセスの実行が停止します。これが、tls-auth/tls-cryptを使用するサーバーがこの攻撃から保護される理由でもあります。P_CONTROLパケットは、有効なHMAC（チャレンジ応答）で指定されたセッションIDが含まれている場合にのみ受け入れられます。（CVE-2017-7478）

認証されたクライアントは、サーバーのpacket-idカウンターをロールオーバーさせる可能性があります。これにより、サーバープロセスがASSERT()をヒットし、実行を停止する可能性があります。サーバーにASSERT()をヒットさせるには、クライアントはまずサーバーに2^32パケット（少なくとも196 GB）を送信させる必要があります。

この更新により、最新のOpenVPN v2.4.2リリースが導入されます。このリリースには、2つの認証されたリモートDoSの脆弱性に対する修正が含まれています（CVE-2017-7478およびCVE-2017-7479）。

詳細については、Upstreamの[セキュリティアナウンス]（http://community.openvpn.net/openvpn/wiki/QuarkslabAndCr yptographyEngineerAudits）を参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
100951	SUSE SLED12 / SLES12セキュリティ更新プログラム：openvpn（SUSE-SU-2017:1622-1）（SWEET32）	Nessus	SuSE Local Security Checks	2017/6/21	2022/12/5	high
101679	Fedora 26：openvpn（2017-89d98779ec）	Nessus	Fedora Local Security Checks	2017/7/17	2021/1/6	high
100155	Ubuntu 17.04：openvpnの脆弱性（USN-3284-1）	Nessus	Ubuntu Local Security Checks	2017/5/12	2023/1/12	high
125259	OpenVPN 2.3.12 < 2.3.15/2.4.x < 2.4.2のサービス拒否の脆弱性（Windows）	Nessus	Windows	2019/5/17	2019/5/27	high
101128	openSUSEセキュリティ更新プログラム：openvpn（openSUSE-2017-717）（SWEET32）	Nessus	SuSE Local Security Checks	2017/6/30	2022/12/5	high
104141	SUSE SLES11セキュリティ更新プログラム：openvpn（SUSE-SU-2017:2838-1）（SWEET32）	Nessus	SuSE Local Security Checks	2017/10/25	2022/12/5	high
100363	Fedora 24：openvpn（2017-f426acf49d）	Nessus	Fedora Local Security Checks	2017/5/24	2021/1/6	high
100140	FreeBSD：OpenVPN -- 2つのリモートのサービス拒否の脆弱性（04cc7bd2-3686-11e7-aa64-080027ef73ec）	Nessus	FreeBSD Local Security Checks	2017/5/12	2021/1/4	high
100183	Fedora 25：openvpn（2017-0d0f18140a）	Nessus	Fedora Local Security Checks	2017/5/16	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high