【缝隙公告】OpenVPN DCO驱动法式缓冲区溢露马脚 (CVE-2025-50054)

颁布功夫 2025-06-23

一、缝隙概述


缝霞称

OpenVPN DCO驱动法式缓冲区溢露马脚

CVE   ID

CVE-2025-50054

缝隙类型

缓冲区溢露马脚

发现功夫

2025-06-23

缝隙评分

9.8

缝隙等级

严沉

攻击向量

本地

所需权限

低

利用难度

低

用户交互

不必要

PoC/EXP

未公开

在野利用

未发现


OpenVPN是一款开源的虚构个人网络（VPN）软件，，，，，，利用SSL/TLS和谈实现加密通讯，，，，，，支持点对点和站点到站点的安全衔接，，，，，，宽泛利用于远程接见和企业网络。。。。。它支持多种身份验证方式，，，，，，蕴含预共享密钥、数字证书和用户名/密码组合。。。。。通过使用OpenSSL加密库，，，，，，OpenVPN提供高达256位的加密强度，，，，，，并支持美满前向保密（PFS）职能，，，，，，加强数据安全性。。。。。OpenVPN兼容多种操作系统，，，，，，如Windows、Linux、macOS、iOS和Android，，，，，，合用于家庭用户、企业和开发者，，，，，，因其高安全性、矫捷性和开源个性，，，，，，成为全球最受欢迎的VPN解决规划之一。。。。。


2025年6月23日，，，，，，8827太阳集团集团VSRC监测到openvpn颁布安全布告，，，，，，披露openvpn中的一个缓冲区溢露马脚。。。。。该缝隙存在于OpenVPN的Windows数据通路卸载驱动法式（ovpn-dco-win）中，，，，，，当用户空间过程向内核驱动法式发送超过1500字节的节造新闻时，，，，，，会导致Windows DCO驱动法式崩溃。。。。。此缝隙仅能通过本地过程触发，，，，，，而非远程攻击，，，，，，且即便长短特权过程也能利用此缝隙。。。。。OpenVPN自身拥有限度，，，，，，不会发送超长新闻，，，，，，但自界说编译的OpenVPN或其他与DCO驱动法式交互的过程可能绕过该限度，，，，，，触发缝隙。。。。。该缝隙可能导致系统不不变。。。。。


二、影响领域


ovpn-dco-win ≤ 1.3.0
2.6.0-I005 ≤ OpenVPN GUI for Windows ≤ 2.6.14-I001
OpenVPN GUI for Windows = 2.7_alpha1-I001


三、安全措施


3.1 升级版本


建议升级OpenVPN GUI for Windows至如下版本
OpenVPN GUI for Windows ≥ 2.6.14-I002
OpenVPN GUI for Windows ≥ 2.7_alpha2-I001。。。。。


下载链接：https://openvpn.net/community-downloads/


3.2 一时措施


暂无。。。。。


3.3 通用建议


?定期更新系统补�。。。。。�，，，，，削减系统缝隙，，，，，，提升服务器的安全性。。。。。
?加强系统和网络的接见节造，，，，，，批改防火墙战术，，，，，，关关非必要的利用端口或服务，，，，，，削减将危险服务（如SSH、RDP等）露出到公网，，，，，，削减攻击面。。。。。
?使用企业级安全产品，，，，，，提升企业的网络安全机能。。。。。
?加强系统用户和权限治理，，，，，，启用多成分认证机造和最幼权限准则，，，，，，用户和软件权限应维持在最低限度。。。。。
?启用强密码战术并设置为定期批改。。。。。


3.4 参考链接


https://community.openvpn.net/Security%20Announcements/CVE-2025-50054
https://nvd.nist.gov/vuln/detail/CVE-2025-50054