OpenVPN の脆弱性 CVE-2025-2704 が FIX：サーバ・クラッシュとサービス中断の恐れ

CVE-2025-2704: Critical Bug in OpenVPN Can Trigger Server Crashes

2025/04/04 SecurityOnline — OpenVPN コミュニティが発表したのは、サーバ・サイドの脆弱性 CVE-2025-2704 を修正する、重要なセキュリティ・アップデート OpenVPN 2.6.14 のリリースである。この脆弱が微武器化されると、”–tls-crypt-v2″ オプションでコンフィグされた VPN サーバが、クラッシュする可能性が生じる。

この欠陥により、暗号化されたデータの侵害や、悪意のード実行にいたることはないが、サービス拒否 (DoS) が発生する可能性があるため、世界中のユーザーの安全な通信チャネルの中断という恐れが生じている。

OpenVPN のバージョン 2.6.1〜2.6.13 で、”–tls-crypt-v2″ オプションの有効化が設定されている場合には、きわめて脆弱な状態となる。このコンフィグは、TLS 制御チャネル・パケットの暗号化と認証に多用され、より強力なプライバシーと DPI (Deep Packet Inspection) 対策を提供している。

OpenVPN のセキュリティ・アドバイザリには、「たとえば、一部は承認済みで一部は不正といった、受信パケットの特定の組み合わせを受信すると、サーバのクライアント状態が破損し、セルフチェックがトリガーされて、ASSERT メッセージを表示した後にサーバが終了する」と記されている。

つまり、アサーション・エラーによりサーバがクラッシュするし。実稼働の VPN 環境において、数百または数千のユーザーの接続が、中断される恐れがある。OpenVPN アドバイザリには、以下のように詳述されている。

攻撃チェーンは、以下のとおりである：

• 攻撃者は、有効な tls-crypt-v2 クライアント・キーを所有している。
• ネットワーク・トラフィックを監視し、TLS ハンドシェイク中に特別に細工されたパケットを挿入する。
• 正当なパケットと不正なパケットの適切な組み合わせがサーバに到達させ、クライアント状態を破損する。
• サーバは内部の不整合を検出し、ASSERT ステートメントをトリガーして直ちに終了する。

警告が表示されるが、脆弱性 CVE-2025-2704 により、暗号化の侵害やデータの窃取が許可されることはない。アドバイザアリには、「暗号の整合性は侵害されず、データは漏洩せず、リモートコード実行も不可能である」と記されている。

OpenVPN サーバで、”–tls-crypt-v2″ が有効化されている場合には、以下の方法により保護を維持できる。

• OpenVPN 2.6.14 へと速やかにアップグレードする。
• すぐにアップグレードできない場合の一時的な回避策として、””–tls-crypt-v2″ を無効化する。ただし、この設定により、プライバシー機能が弱まる可能性がある。

セキュア・コミュニケーションの要とも言える OpenVPN に、とても気になる脆弱性が出現です。アドバイザアリには、「データは漏洩せず、リモートコード実行も不可能」と記されているようですが、サービス拒否 やクラッシュにいたる恐れがおあるとのことです。ご利用のチームは、十分に ご注意ください。よろしければ、OpenVPN で検索も、ご参照ください。