OpenVPN 2.7.7 вышел с семью исправлениями безопасности
Разработчики OpenVPN представили версию 2.7.7 - очередное обновление популярного решения для построения защищённых VPN-соединений. Релиз носит преимущественно защитный характер: в нём устранены семь уязвимостей, зарегистрированных в базе CVE, а также усилена работа с Linux Netlink, исправлены сетевые ошибки и повышена общая надёжность программы.
Пользователям, которые планируют скачать OpenVPN 2.7.7, рекомендуется устанавливать пакет из официальных репозиториев дистрибутива либо собирать его из проверенных исходных кодов. Подробный перечень изменений и исправлений безопасности опубликован в [обзоре релиза OpenVPN 2.7.7](https://linuxiac.com/openvpn-2-7-7-released-with-seven-security-fixes/), где также приведены сведения о затронутых компонентах.
Одно из межплатформенных исправлений связано с CVE-2026-84732. Оно устраняет сразу две проблемы в механизме, отвечающем за надёжность работы OpenVPN. На Windows разработчики закрыли CVE-2026-84256 - ошибку формирования командной строки при вызове функции `CreateProcess()`. Проблема возникала из-за некорректного экранирования символов, которые имеют специальное значение для `cmd.exe`.
Ещё одна уязвимость Windows-компонентов, CVE-2026-84226, обнаружена в утилите `tapctl`, используемой для управления виртуальными сетевыми адаптерами. Кроме того, исправлена CVE-2026-82312, связанная с применением нулевых DACL для ряда системных объектов. Некорректные списки управления доступом могли ослаблять защиту отдельных ресурсов.
Изменения затронули и службу `openvpnserv`. Уязвимость CVE-2026-78221 проявлялась при обработке интернационализированных доменных имён в кодировке UTF-8: в некоторых случаях в механизм NRPT передавался неправильный размер домена, что потенциально мог привести к чтению данных за пределами буфера. Вторая проблема службы, CVE-2026-78043, позволяла использовать косую черту в путях к конфигурационным файлам.
Отдельно разработчики устранили CVE-2026-81738 - ошибку "на единицу" в проверке временного буфера, применяемого функцией `write_dhcp_search_str()`. Подобные дефекты могут приводить к некорректному контролю границ памяти и поэтому требуют особого внимания даже в тех случаях, когда не вызывают очевидных сбоев при обычной эксплуатации.
В Linux OpenVPN 2.7.7 теперь проверяет ответы Netlink на соответствие запросам, которые их породили. Это дополнительный уровень защиты при обмене данными с ядром Linux через Netlink: клиент не должен принимать ответ, не относящийся к конкретной операции. Такое изменение особенно важно для систем, где VPN-сервис работает с сетевыми маршрутами, интерфейсами и параметрами ядра.
Релиз принёс и несколько функциональных корректировок. При использовании формата канала данных EPOCH программа теперь хранит четыре будущих ключа вместо шестнадцати. Это уменьшает объём лишних данных, которые необходимо поддерживать заранее, сохраняя при этом механизм плавной смены ключевого материала.
В сетевой подсистеме OpenVPN больше не изменяет UDP-контрольную сумму, если её значение равно нулю. Поведение приведено в соответствие с RFC 768. Дополнительно интеграция с OpenSSL перестала сбрасывать HMAC-ключ для каждого отдельного пакета, благодаря чему сокращается количество ненужных операций в процессе обработки трафика.
Для администраторов серверов и рабочих станций обновление OpenVPN 2.7.7 особенно актуально в инфраструктурах, где VPN используется для удалённого доступа, соединения филиалов или защиты служебных каналов. Даже если конкретная конфигурация не задействует уязвимые Windows-компоненты, обновление закрывает общие проблемы надёжности и усиливает взаимодействие клиента с сетевым стеком Linux.
Перед обновлением рекомендуется сохранить текущие конфигурационные файлы, проверить совместимость пакетов с используемой версией OpenSSL и протестировать подключение на отдельном узле. При самостоятельной установке OpenVPN на Linux важно учитывать способ управления пакетами в конкретном дистрибутиве: Debian и Ubuntu обычно используют APT, Fedora и RHEL - DNF, а в некоторых системах может потребоваться сборка из исходного кода.
После установки следует проверить журналы клиента и сервера, убедиться в корректном применении маршрутов, работе DNS и доступности удалённых подсетей. Такая проверка особенно полезна при настройке VPN с OpenVPN в корпоративной среде, где даже небольшое изменение поведения сетевого сервиса может повлиять на доступ пользователей к внутренним ресурсам.
Версия 2.7.7 демонстрирует стандартный для проекта подход: разработчики не ограничились устранением CVE, а одновременно внесли изменения в сетевую обработку, криптографические операции и взаимодействие с ядром. Поэтому обновление имеет смысл рассматривать не только как реакцию на уязвимости OpenVPN 2.7.7, но и как плановое повышение стабильности VPN-инфраструктуры.
