CVE-2021-27406

PerFact OpenVPN-Client versões 1.4.1.0 e anteriores

A vulnerabilidade permite que um invasor envie o comando config a partir de qualquer aplicativo em execução na máquina host local para forçar o servidor back-end a inicializar uma nova instância do OpenVPN com uma configuração arbitrária. Isso pode resultar na execução de código pelo invasor com privilégios de usuário SYSTEM. A vulnerabilidade está relacionada a erros nas configurações do sistema, que podem ser explorados por um invasor remoto para executar código arbitrário ou elevar privilégios.

Para as versões 1.4.1.0 e anteriores do PerFact OpenVPN-Client, considere restringir o acesso ao comando config para impedir a inicialização não autorizada de novas instâncias do OpenVPN até que um patch esteja disponível. Como solução alternativa temporária, restrinja a capacidade dos aplicativos locais de enviar o comando config ao servidor back-end.