CVE-2026-84790: уязвимость подмены пользователя в OpenVPN 2.7

В линейке OpenVPN 2.7 выявлена уязвимость, связанная с недостаточной проверкой содержимого сертификатов. Проблема получила идентификатор CVE-2026-84790 и оценку 7.6 по шкале CVSS, что соответствует высокому уровню критичности.

Подробности

Уязвимости подвержены версии OpenVPN от 2.7_alpha1 до 2.7.7 включительно. Согласно описанию CVE, прошедший аутентификацию удалённый пользователь может выдать себя за другого пользователя, используя специально сформированное поле subject в сертификате. Иными словами, некорректная обработка атрибутов субъекта сертификата позволяет обойти логику идентификации клиентов и действовать в системе от имени чужой учётной записи.

Для эксплуатации злоумышленнику необходимо располагать действующими учётными данными и возможностью предъявить сертификат с подконтрольным содержимым. Это снижает вероятность массовых атак извне, однако в сценариях, где сертификаты выдаются пользователям или устройствам, риск возрастает: скомпрометированный или намеренно сконфигурированный клиент получает возможность обойти разграничение доступа. Оценка CVSS 7.6 отражает высокую значимость последствий при наличии аутентификации.

Что делать

Рекомендуется обновить OpenVPN до версии, в которой устранена уязвимость (проверьте актуальный релиз на официальном сайте проекта). Если обновление невозможно в краткосрочной перспективе, примените компенсирующие меры:

• ужесточите контроль за выдачей и содержимым клиентских сертификатов, ограничьте возможность самостоятельной генерации полей subject;
• проведите ревизию выпущенных сертификатов и отзовите подозрительные;
• усильте мониторинг аутентификации и журналирование подключений для выявления попыток подмены пользователей;
• ограничьте круг лиц, имеющих право на выпуск сертификатов, и используйте проверенные промежуточные CA.

Уязвимость CVE-2026-84790 требует внимания администраторов, эксплуатирующих OpenVPN 2.7: при наличии аутентифицированных пользователей и сертификатов с контролируемыми атрибутами риск подмены идентичности реален. Оперативное обновление и контроль жизненного цикла сертификатов позволяют закрыть вектор атаки.

Источник: CVE Project (cvelistV5)