OpenVPN 2.6.16 har släppts med fokus på förbättrad säkerhet och stabilitet. Uppdateringen åtgärdar en nyligen upptäckt sårbarhet som påverkar hanteringen av TLS-handshakepaket och förbättrar därmed skyddet mot överbelastningsattacker. Samtidigt rättas flera buggar från tidigare versioner, vilket gör denna uppdatering särskilt viktig för drift av OpenVPN-servrar i produktionsmiljö.
OpenVPN 2.6.16 släppt – löser säkerhetshål och förbättrar stabiliteten
OpenVPN 2.6.16 har idag släppts som den senaste stabila versionen av det öppna VPN-systemet som används globalt för att skapa säkra punkt-till-punkt- eller plats-till-plats-anslutningar i både routed- och bridged-lägen. OpenVPN är ett av de mest etablerade verktygen för säker fjärråtkomst.
Säkerhetsfix: CVE-2025-13086
Denna version är en mindre uppdatering men viktig ur säkerhetsperspektiv. Den åtgärdar säkerhetssårbarheten CVE-2025-13086, som rörde en felaktig memcmp-kontroll vid HMAC-verifiering i den så kallade 3-way handshake-processen. Felet gjorde att det HMAC-baserade skyddet mot överbelastningstillstånd vid mottagning av förfalskade TLS-handshakepaket på OpenVPN-servern inte fungerade som avsett.
Övriga rättningar
Flera andra buggar har också åtgärdats i den här versionen, bland annat:
- Felaktig pekarhantering i funktionen
tls_pre_decrypt() - Problem med autentiseringsplugin/script
- Saknat anrop till
perf_pop()(används vid prestandaprofiler) - Flera Windows-relaterade fel
- Andra mindre korrigeringar
Bakgrund från version 2.6.15
Den föregående versionen, OpenVPN 2.6.15, släpptes för två månader sedan och återinförde stöd för att explicit konfigurera broadcast-adressen på Linux-gränssnitt där detta är relevant. Funktionen hade tidigare tagits bort med argumentet att systemet automatiskt kunde sätta denna adress, men i praktiken visade det sig att kernel netlink-gränssnittet installerade “0.0.0.0” som IP-adress. Detta orsakade problem för program som baserar sina nätverksinställningar på output från ifconfig.
Återinförandet korrigerade därmed kompatibilitetsproblem för broadcast-baserade applikationer.
Version 2.6.15 introducerade också:
- Striktare validering av DNS-domännamn med positivlista över tillåtna tecken (inklusive UTF-8-tecken) innan domännamnet trafikeras genom PowerShell
- Ytterligare kontroller av inkommande TLS-handshakepaket innan nya anslutningssessioner skapas, vilket förbättrar hanteringen av klienter som växlar nätverk mycket tidigt men ändå skickar kontrollkanalspaket från sin ursprungliga IP
Installation
Den senaste versionen av OpenVPN kan laddas ner som källkod från GitHub för den som vill kompilera programmet manuellt. För de flesta användare rekommenderas dock att följa installationsinstruktioner för respektive Linux-distribution, exempelvis Debian, Ubuntu, openSUSE/SLES eller Fedora/RHEL.
Sammanfattning
| Punkt | Information |
|---|---|
| Version | OpenVPN 2.6.16 |
| Säkerhetsfix | CVE-2025-13086 |
| Buggrättningar | TLS-hantering, auth-script, Windows-problem m.m. |
| Viktigt från 2.6.15 | Broadcast-adress, DNS-validering, förbättrad TLS-kontroll |
| Tillgänglighet | Källkod via GitHub, installationsguider för Linux |
Slutsats
Även om OpenVPN 2.6.16 inte innehåller stora funktionsnyheter är den starkt rekommenderad att uppgradera till, särskilt på serversidan, med tanke på den åtgärdade säkerhetssårbarheten och förbättrad stabilitet. Installation bör ske så snart som möjligt i miljöer där OpenVPN används i produktion.
Typ av mjukvara:
Öppen källkod, VPN-lösning
Huvudfunktioner:
- Skapar säkra punkt-till-punkt- eller plats-till-plats-anslutningar
- Stöd för både routed (Layer 3) och bridged (Layer 2) VPN-läge
- Kryptering av nätverkstrafik med TLS/SSL
- Autentisering via certifikat, användarnamn/lösenord eller tvåfaktorslösning
- Möjlighet att använda HMAC för att skydda mot DoS- och spoofing-attacker
- Stöd för IPv4 och IPv6
Plattformar:
Linux, Windows, macOS, BSD, Android, iOS samt integrering i routrar och embedded-system
Protokoll:
- Körs över UDP eller TCP
- Kan köra över valfri port
- Stödjer tunnling av IP, Ethernet och virtuella nätverksgränssnitt
Säkerhet:
- Kryptering upp till AES-256
- Möjlighet att använda Perfect Forward Secrecy (PFS)
- Stöd för TLS-versionering och hårdare säkerhetsprofiler
- Kan använda pkcs11, smartkort och TPM för nyckelhantering
Administration och drift:
- Kan köras som server eller klient
- Centraliserad användarhantering via plugin/script
- Integration med AD, LDAP och RADIUS
- Stöd för loggning och profilering
Populära användningsområden:
- Fjärråtkomst till företagsnätverk
- Säker anslutning mellan två geografiska platser
- Privat surfning via VPN-tjänster
- Kryptering av trafik vid offentliga Wi-Fi-nät
- Används ofta tillsammans med brandväggs- och routinglösningar
