【缝隙公告】OpenVPN DCO驱动法式缓冲区溢出缝隙 (CVE-2025-50054)

颁布功夫 2025-06-23

一、缝隙概述


缝隙名称

OpenVPN DCO驱动法式缓冲区溢出缝隙

CVE   ID

CVE-2025-50054

缝隙类型

缓冲区溢出缝隙

发现功夫

2025-06-23

缝隙评分

9.8

缝隙等级

严重

攻击向量

本地

所需权限

低

利用难度

低

用户交互

不必要

PoC/EXP

未公开

在野利用

未发现


OpenVPN是一款开源的虚构个人网络（VPN）软件，利用SSL/TLS和谈实现加密通讯，支持点对点和站点到站点的安全衔接，宽泛利用于远程接见和企业网络 。它支持多种身份验证方式，蕴含预共享密钥、数字证书和用户名/密码组合 。通过使用OpenSSL加密库，OpenVPN提供高达256位的加密强度，并支持美满前向保密（PFS）职能，加强数据安全性 。OpenVPN兼容多种操作系统，如Windows、Linux、macOS、iOS和Android，合用于家庭用户、企业和开发者，因其高安全性、矫捷性和开源个性，成为全球最受欢迎的VPN解决规划之一 。


2025年6月23日，OG东方厅集团VSRC监测到openvpn颁布安全布告，披露openvpn中的一个缓冲区溢出缝隙 。该缝隙存在于OpenVPN的Windows数据通道卸载驱动法式（ovpn-dco-win）中，当用户空间过程向内核驱动法式发送超过1500字节的节制新闻时，会导致Windows DCO驱动法式崩溃 。此缝隙仅能通过本地过程触发，而非远程攻击，且即便长短特权过程也能利用此缝隙 。OpenVPN自身拥有限度，不会发送超长新闻，但自界说编译的OpenVPN或其他与DCO驱动法式交互的过程可能绕过该限度，触发缝隙 。该缝隙可能导致系统不不变 。


二、影响领域


ovpn-dco-win ≤ 1.3.0
2.6.0-I005 ≤ OpenVPN GUI for Windows ≤ 2.6.14-I001
OpenVPN GUI for Windows = 2.7_alpha1-I001


三、安全措施


3.1 升级版本


建议升级OpenVPN GUI for Windows至如下版本
OpenVPN GUI for Windows ≥ 2.6.14-I002
OpenVPN GUI for Windows ≥ 2.7_alpha2-I001 。


下载链接：：https://openvpn.net/community-downloads/


3.2 一时措施


暂无 。


3.3 通用建议


?定期更新系统补丁，削减系统缝隙，提升服务器的安全性 。
?加强系统和网络的接见节制，批改防火墙战术，关闭非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面 。
?使用企业级安全产品，提升企业的网络安全机能 。
?加强系统用户和权限治理，启用多成分认证机制和最小权限准则，用户和软件权限应维持在最低限度 。
?启用强密码战术并设置为定期批改 。


3.4 参考链接


https://community.openvpn.net/Security%20Announcements/CVE-2025-50054
https://nvd.nist.gov/vuln/detail/CVE-2025-50054