PT-2024-6140

CVE-2024-24974

Publicado

2024-03-24

Atualizado

2024-08-14

Descrição por

CVSS 2.0

7.8

Alta

MétricasAV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

OpenVPN versões 2.6.9 e anteriores

Descrição

O problema está relacionado ao serviço interativo do OpenVPN, que permite o acesso remoto ao canal do serviço OpenVPN. Isso permite que um invasor remoto interaja com o serviço interativo privilegiado do OpenVPN, podendo levar à escalada de privilégios e à execução de código arbitrário. A vulnerabilidade está associada à restrição insuficiente do canal de comunicação para pontos finais específicos.

Recomendações

Para as versões 2.6.9 e anteriores do OpenVPN, considere desativar o serviço interativo como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao canal de serviço do OpenVPN para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Explorabilidade

Exploit

Pesquisadores

Vladimir Tokarev

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-923: Improper Restriction of Communication Channel to Intended Endpoints

Identificadores relacionados

CVE-2024-24974

BDU:2024-07059

ALT-PU-2024-10859