Das OpenVPN-Projekt hat am 3. September 2026 die Version 2.7.7 veröffentlicht. Das Wartungs-Release schließt sieben per CVE erfasste Sicherheitslücken, härtet unter Linux die Netlink-Kommunikation und behebt mehrere Fehler im Netzwerk-Stack.
Fünf von sieben Lücken betreffen Windows
Der Schwerpunkt der Fixes liegt bei den Windows-Komponenten. CVE-2026-82312 betraf Systemobjekte, die mit einer NULL-DACL angelegt wurden – unter Windows bedeutet das nicht „kein Zugriff“, sondern uneingeschränkten Zugriff für jeden lokalen Nutzer. Hinzu kommen eine fehlerhafte Kommandozeilen-Maskierung in CreateProcess() (CVE-2026-84256), eine Schwachstelle im Hilfsprogramm tapctl (CVE-2026-84226) sowie zwei Fehler im Dienst openvpnserv: ein Buffer-Overread bei internationalisierten Domainnamen (CVE-2026-78221) und eine umgangene Pfadprüfung (CVE-2026-78043).
Plattformübergreifend und Netlink-Härtung
Zwei Lücken wirken plattformunabhängig: CVE-2026-84732 adressiert zwei Probleme in OpenVPNs Reliability-Layer, CVE-2026-81738 einen Off-by-one-Fehler in write_dhcp_search_str(). Als zusätzliche Härtung validiert der Linux-Client Netlink-Antworten nun gegen die zugehörige Anfrage – ein von Joshua Rogers vorgeschlagener Schutz gegen manipulierte Kernel-Antworten.
Das Projekt stuft 2.7.7 als Bugfix-Release mit mehreren Sicherheitskorrekturen ein. Betroffen sind alle Plattformen, besonders dringend ist das Update jedoch für Windows-Installationen. Nutzer sollten zeitnah auf 2.7.7 aktualisieren.
Quellen: OpenVPN Community Wiki · OpenVPN Security Advisories · Linuxiac
