Openvpn OpenVPN 注入漏洞

CVE编号

CVE-2021-31605

利用情况

暂无

补丁情况

N/A

披露时间

2021-09-26

漏洞描述

OpenVPN是美国OpenVPN（Openvpn）公司的一个用于创建虚拟专用网络（VPN）加密通道的软件包，它使用OpenSSL库来加密数据与控制信息，并允许创建的VPN使用公开密钥、电子证书或者用户名/密码来进行身份验证。 OpenVPN Monitor 1.1.3及以下版本存在注入漏洞，攻击者可利用该漏洞将任意命令注入OpenVPN服务器管理接口套接字。

解决建议

目前厂商暂未发布修复措施解决此安全问题。

参考链接
http://packetstormsecurity.com/files/164278/OpenVPN-Monitor-1.1.3-Command-Inj...
https://github.com/furlongm/openvpn-monitor/releases
https://packetstormsecurity.com/files/164278/OpenVPN-Monitor-1.1.3-Command-In...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	openvpn-monitor_project	openvpn-monitor	*		Up to (including) 1.1.3

CVSS3评分 7.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 无
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CWE-ID 漏洞类型 CWE-77 在命令中使用的特殊元素转义处理不恰当（命令注入）