61217 2026-10-26 02:42:28 +0300 openvpn: обновить 2.6.19 → 2.6.23 в Sisyphus и p11 (CVE-2026-13117, CVE-2026-84471, CVE-2026-84732 и др.) 2026-10-26 02:47:37 +0300 1 1 4 Development Sisyphus openvpn unstable x86_64 Linux NEW P5 major --- 1 lav naf naf qa-sisyphus oldest_to_newest 303363 0 lav 2026-10-26 02:42:28 +0300 В Sisyphus openvpn 2.6.19-alt1, в p11 — 2.6.12-alt1. Текущая версия ветки 2.6 — 2.6.23: https://github.com/OpenVPN/openvpn/blob/release/2.6/Changes.rst Просьба обновить в Sisyphus и перенести в p11. Уязвимости, исправленные после 2.6.19 (затрагивают Sisyphus и p11): - 2.6.20: CVE-2026-35058 — tls-crypt-v2, при наличии действующего клиентского ключа tls-crypt-v2. - 2.6.21: CVE-2026-13117 — use-after-free в tls_wrap_reneg() при подходящей последовательности управляющих пакетов dynamic tls-crypt (dynamic tls-crypt включается автоматически между пирами 2.6.1+ при пересогласовании ключей). - 2.6.21: CVE-2026-12996 — use-after-free в ack_write_buf() при подобранной по времени последовательности управляющих пакетов и пакетов аутентификации. - 2.6.21: CVE-2026-13698 — утечка памяти на пакетах tls-crypt-v2, ведущая к исчерпанию памяти и падению сервера. - 2.6.22: CVE-2026-63649 (Windows, openvpnserv); «dco: make key state desync recoverable»; сервер отклоняет HARD RESET с sequence ID != 0. - 2.6.23: CVE-2026-84732 — reliability layer: неограниченный TLS timeout и обработка подтверждений для пакетов, которые не могут быть в очереди. - 2.6.23: CVE-2026-84471 — возможный double-free для сессии в состоянии lame duck. - 2.6.23: SSL — не доверять запросу пира на повторную отправку обёрнутого клиентского ключа (openvpn-private-issues#181). - Остальные CVE 2.6.23 относятся к Windows. Дополнительно для p11 (2.6.12), исправленные в 2.6.13–2.6.19: - 2.6.14: CVE-2025-2704 — ASSERT() на сервере с --tls-crypt-v2. - а также все исправления 2.6.13–2.6.19 (см. Changes.rst). 303364 1 lav 2026-10-26 02:47:24 +0300 Поправка к описанию: в p11, как и в Sisyphus, сейчас openvpn 2.6.19-alt1 (CVE-2025-2704, CVE-2025-13086, CVE-2025-13751 там уже исправлены). Абзац про 2.6.12 в описании неверен. Актуальная просьба: обновить openvpn с 2.6.19 до 2.6.23 в Sisyphus и p11 из-за уязвимостей, исправленных в 2.6.20–2.6.23: - CVE-2026-35058 (2.6.20) — tls-crypt-v2; - CVE-2026-13117 (2.6.21) — use-after-free в tls_wrap_reneg() (dynamic tls-crypt); - CVE-2026-12996 (2.6.21) — use-after-free в ack_write_buf(); - CVE-2026-13698 (2.6.21) — утечка памяти на пакетах tls-crypt-v2; - CVE-2026-84732 (2.6.23) — reliability layer; - CVE-2026-84471 (2.6.23) — double-free в lame duck; https://github.com/OpenVPN/openvpn/blob/release/2.6/Changes.rst