【缝隙公告】OpenVPN DCO驱动法式缓冲区溢出缝隙 (CVE-2025-50054)

颁布功夫 2025-06-23

一、、缝隙概述


缝隙名称

OpenVPN DCO驱动法式缓冲区溢出缝隙

CVE   ID

CVE-2025-50054

缝隙类型

缓冲区溢出缝隙

发现功夫

2025-06-23

缝隙评分

9.8

缝隙等级

严重

攻击向量

本地

所需权限

低

利用难度

低

用户交互

不必要

PoC/EXP

未公开

在野利用

未发现


OpenVPN是一款开源的虚构个人网络（VPN）软件，，利用SSL/TLS和谈实现加密通讯，，支持点对点和站点到站点的安全衔接，，宽泛利用于远程接见和企业网络。。它支持多种身份验证方式，，蕴含预共享密钥、、数字证书和用户名/密码组合。。通过使用OpenSSL加密库，，OpenVPN提供高达256位的加密强度，，并支持美满前向保密（PFS）职能，，加强数据安全性。。OpenVPN兼容多种操作系统，，如Windows、、Linux、、macOS、、iOS和Android，，合用于家庭用户、、企业和开发者，，因其高安全性、、矫捷性和开源个性，，成为全球最受欢迎的VPN解决规划之一。。


2025年6月23日，，OG东方厅集团VSRC监测到openvpn颁布安全布告，，披露openvpn中的一个缓冲区溢出缝隙。。该缝隙存在于OpenVPN的Windows数据通道卸载驱动法式（ovpn-dco-win）中，，当用户空间过程向内核驱动法式发送超过1500字节的节制新闻时，，会导致Windows DCO驱动法式崩溃。。此缝隙仅能通过本地过程触发，，而非远程攻击，，且即便长短特权过程也能利用此缝隙。。OpenVPN自身拥有限度，，不会发送超长新闻，，但自界说编译的OpenVPN或其他与DCO驱动法式交互的过程可能绕过该限度，，触发缝隙。。该缝隙可能导致系统不不变。。


二、、影响领域


ovpn-dco-win ≤ 1.3.0
2.6.0-I005 ≤ OpenVPN GUI for Windows ≤ 2.6.14-I001
OpenVPN GUI for Windows = 2.7_alpha1-I001


三、、安全措施


3.1 升级版本


建议升级OpenVPN GUI for Windows至如下版本
OpenVPN GUI for Windows ≥ 2.6.14-I002
OpenVPN GUI for Windows ≥ 2.7_alpha2-I001。。


下载链接：https://openvpn.net/community-downloads/


3.2 一时措施


暂无。。


3.3 通用建议


?定期更新系统补丁，，削减系统缝隙，，提升服务器的安全性。。
?加强系统和网络的接见节制，，批改防火墙战术，，关闭非必要的利用端口或服务，，削减将危险服务（如SSH、、RDP等）露出到公网，，削减攻击面。。
?使用企业级安全产品，，提升企业的网络安全机能。。
?加强系统用户和权限治理，，启用多成分认证机制和最小权限准则，，用户和软件权限应维持在最低限度。。
?启用强密码战术并设置为定期批改。。


3.4 参考链接


https://community.openvpn.net/Security%20Announcements/CVE-2025-50054
https://nvd.nist.gov/vuln/detail/CVE-2025-50054