Bug 61217

Summary:	openvpn: обновить 2.6.19 → 2.6.23 в Sisyphus и p11 (CVE-2026-13117, CVE-2026-84471, CVE-2026-84732 и др.)
Product:	Sisyphus	Reporter:	Vitaly Lipatov <lav>
Component:	openvpn	Assignee:	Nikolay A. Fetisov <naf>
Status:	NEW ---	QA Contact:	qa-sisyphus
Severity:	major
Priority:	P5	CC:	naf
Version:	unstable
Hardware:	x86_64
OS:	Linux

Description

Vitaly Lipatov 2026-10-26 02:42:28 MSK

В Sisyphus openvpn 2.6.19-alt1, в p11 — 2.6.12-alt1. Текущая версия ветки 2.6 — 2.6.23:
https://github.com/OpenVPN/openvpn/blob/release/2.6/Changes.rst

Просьба обновить в Sisyphus и перенести в p11.

Уязвимости, исправленные после 2.6.19 (затрагивают Sisyphus и p11):
- 2.6.20: CVE-2026-35058 — tls-crypt-v2, при наличии действующего клиентского ключа tls-crypt-v2.
- 2.6.21: CVE-2026-13117 — use-after-free в tls_wrap_reneg() при подходящей последовательности управляющих пакетов dynamic tls-crypt (dynamic tls-crypt включается автоматически между пирами 2.6.1+ при пересогласовании ключей).
- 2.6.21: CVE-2026-12996 — use-after-free в ack_write_buf() при подобранной по времени последовательности управляющих пакетов и пакетов аутентификации.
- 2.6.21: CVE-2026-13698 — утечка памяти на пакетах tls-crypt-v2, ведущая к исчерпанию памяти и падению сервера.
- 2.6.22: CVE-2026-63649 (Windows, openvpnserv); «dco: make key state desync recoverable»; сервер отклоняет HARD RESET с sequence ID != 0.
- 2.6.23: CVE-2026-84732 — reliability layer: неограниченный TLS timeout и обработка подтверждений для пакетов, которые не могут быть в очереди.
- 2.6.23: CVE-2026-84471 — возможный double-free для сессии в состоянии lame duck.
- 2.6.23: SSL — не доверять запросу пира на повторную отправку обёрнутого клиентского ключа (openvpn-private-issues#181).
- Остальные CVE 2.6.23 относятся к Windows.

Дополнительно для p11 (2.6.12), исправленные в 2.6.13–2.6.19:
- 2.6.14: CVE-2025-2704 — ASSERT() на сервере с --tls-crypt-v2.
- а также все исправления 2.6.13–2.6.19 (см. Changes.rst).

Comment 1

Vitaly Lipatov 2026-10-26 02:47:24 MSK

Поправка к описанию: в p11, как и в Sisyphus, сейчас openvpn 2.6.19-alt1 (CVE-2025-2704, CVE-2025-13086, CVE-2025-13751 там уже исправлены). Абзац про 2.6.12 в описании неверен.

Актуальная просьба: обновить openvpn с 2.6.19 до 2.6.23 в Sisyphus и p11 из-за уязвимостей, исправленных в 2.6.20–2.6.23:
- CVE-2026-35058 (2.6.20) — tls-crypt-v2;
- CVE-2026-13117 (2.6.21) — use-after-free в tls_wrap_reneg() (dynamic tls-crypt);
- CVE-2026-12996 (2.6.21) — use-after-free в ack_write_buf();
- CVE-2026-13698 (2.6.21) — утечка памяти на пакетах tls-crypt-v2;
- CVE-2026-84732 (2.6.23) — reliability layer;
- CVE-2026-84471 (2.6.23) — double-free в lame duck;


https://github.com/OpenVPN/openvpn/blob/release/2.6/Changes.rst