OpenVPN 2.7.8 iki CVE'yi kapatıyor, ama arkasındaki güven varsayımları yamadan sonra da sürüyor

2.7.8 güncellemesi neyi düzeltiyor

OpenVPN 2.7.8, CVE-2026-88964 ve CVE-2026-84790 olmak üzere iki zafiyeti kapatıyor ve her ikisi de tek bir uygulama hatasından değil, güven varsayımlarından kaynaklanıyor. sorrelthorncroft'un dev.to analizine göre bu hatalar, sürüm yükseltmenin ortadan kaldıramayacağı iki inanışı ortaya çıkarıyor: bağlanan bir sunucunun istemciyi yapılandırmakta serbest olması ve bir sertifikanın subject alanının güvenilir bir kimlik olması.

Etkilenen sürüm aralıkları farklı. CVE-2026-84790, tüm platformlarda OpenVPN 2.3.0'dan 2.7.7'ye kadar olan sürümleri kapsarken, CVE-2026-88964 Windows ve Android'de 2.7_alpha3'ten 2.7.7'ye kadar olan sürümleri kapsıyor. Her iki dev.to yazısı da hiçbir duyuruda bir geçici çözüm belgelenmediğini, bu nedenle düzeltilmiş sürümün satıcı tarafındaki tek çare olduğunu belirtiyor.

Hazırlanmış bir domain arama seçeneği

CVE-2026-88964, bir sunucu istemciye hazırlanmış domain arama seçenekleri gönderdiğinde tetikleniyor. OpenVPN 2.7.8 ilgili ayrıştırıcıyı düzeltiyor, ancak sorrelthorncroft'un da işaret ettiği gibi, temel tasarım hâlâ bağlanan bir sunucunun istemcinin yapılandırmasının büyük bölümünü şekillendirmesine izin veriyor. Sonrasında korunmaya değer kontroller şunlar: istemcilerin hangi sunucuları kabul edeceğini sınırlayan bir politika — özellikle mobil cihazlarda ve yüklenicilere verilen profillerde — ve üçüncü taraf bir sağlayıcıyı işaret eden her profilin gözden geçirilmesi.

Kimlik taklidi yapan bir NUL baytı

CVE-2026-84790, bir sertifikanın subject alanına gömülü bir NUL karakteri kullanarak bir sertifikanın başka bir kimlik gibi görünmesini sağlıyordu. Sürüm 2.7.8 OpenVPN içindeki bu karşılaştırma yolunu kapatıyor, ancak andreagomez'in dev.to'daki yazısı, zemin hazırlayan koşulun zincirin daha başlarında, sertifika otoritesinin subject'inde null baytı bulunan bir talebi imzaladığı anda ortaya çıktığını savunuyor. O yazıya göre zafiyet CVSS 4.0'ta 7.6 puan alıyor; saldırı karmaşıklığı ve saldırı ön koşulları yüksek seviyede.

İmza anında doğrulayın

andreagomez'in önerdiği kayıt tarafındaki kural, hatanın biçimini karşılıyor: NUL gibi basılmayan (non-printing) bir karakter içeren her subject özniteliğini reddedin ve kodlanmış uzunluğu çözülen dizgiyle uyuşmayan öznitelikleri reddedin. En çok common name'ler önemli, çünkü çoğu araç kimlik olarak bu özniteliği ele alıyor.

Sızıntı noktaları sıradan. Yalnızca bir girdi alanının boş olup olmadığını kontrol eden self-service portalları, başka bir yerden yapıştırılan bir null baytı ileriye taşıyacak; dizin kullanıcı adlarından subject dizgileri oluşturan otomasyon ise dizinin izin verdiği her şeyi devralacak. Girdi ile imzalama arasına, politikanın kapsadığı her özniteliğe uygulanan bir doğrulama adımı koymak, sorunu ancak bir sunucu sertifikayı kabul ettikten sonra öğrenmekten çok daha ucuz.

Mevcut yapıların da bir taramadan geçmesi gerekiyor: sertifika otoritelerinin envanterini çıkarın, subject özniteliklerini incelemek üzere dışa aktarın ve basılmayan karakter içeren her sertifikayı iptal edip yeniden düzenleyin. Sürüm 2.7.8, OpenVPN'in kendi içindeki kimlik karışıklığı yolunu kaldırıyor, ama elinde eski bir kopya bulunan saldırgan bu yolu, iptal edilene kadar elinde tutuyor.

Görünürlük rakamları ne söylüyor, ne söylemiyor

ZoomEye, app="OpenVPN" ile eşleşen 2.181.390 varlık, 1194 portunda app="OpenVPN" için 1.737.572 varlık rapor ediyor. sorrelthorncroft'un da belirttiği gibi bunlar parmak izi nüfusları — unutulmuş internete açık hizmetleri tespit etmek için faydalılar, ama istemci sürümleri ve sertifika yapılandırması hakkında sessizler. CVE-2026-88964 için ZoomEye'da zafiyete kapsamlı bir sorgu, aramanın yapıldığı tarihte sıfır sonuç döndürdü; bu da bir dizinin kapsadığı şeyin risk ölçümü olmadığının bir hatırlatıcısı.

Sürüm dizgisini kontrol etmek de gerekli ama yüzeysel. Daha güçlü bir kapanış, hazırlanmış bir sertifikayı bir sunucuya sunan ve reddedildiğini doğrulayan, böylece sonraki bir sürüm düşürme veya değiştirilmiş bir binary yakalanacak şekilde test paketinde tutulan bir regresyon testi.

Neden önemli

Yama OpenVPN'in kodunu onarıyor, çevresindeki ekosistemi değil. VPN'in yanına kurulmuş yetkilendirme eklentileri, portallar ve izleme araçları aynı subject alanlarını okuyor ve NUL baytları kendi başlarına nasıl ele aldıkları bilinmiyor; kayıt sürecinin temizlenmesi, bu okuyucuların yanlış yorumlayabileceği girdiyi ortadan kaldırıyor. CVE-2026-84790'nın etkilenen aralığı 2.3.0'a kadar uzandığından, yalnızca yeni sürümleri izleyen ekipler eski kurulumları kolayca gözden kaçırabiliyor. Duyurulardan hiçbiri geçici çözüm sunmadığı için kapanışın pratik kanıtı yazılı bir kayıt: 2.7.8'de olan uç noktalar, yerinde olan kayıt doğrulaması, subject tabanlı yetkilendirme kurallarının gözden geçirilmesi ve bozuk bir subject'in reddedildiğini kanıtlayan bir test. Her iki yazı da bunu savunuyor: bu kayıt, ele alınmış bir risk ile ertelenmiş bir risk arasındaki farktır.