BDU:2025-13551

Опубликовано: 18 окт. 2025

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость компонента --dns-updown программного обеспечения OpenVPN связана с непринятием мер по нейтрализации специальных элементов при обработке аргументов --dns и --dhcp-option. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

OpenVPN

Версия ПО

от 2.7_alpha1 до 2.7_beta1 (OpenVPN)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения удалённого доступа к программному обеспечению;

- ограничение доступа к программному обеспечению, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- минимизация пользовательских привилегий;

- отключение/удаление неиспользуемых учётных записей пользователей.

Использование рекомендаций производителя:

https://www.mail-archive.com/openvpn-announce@lists.sourceforge.net/msg00149.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-10680
CVE

EPSS

Процентиль: 38%

0.00161

Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2025-10680

CVSS3: 8.8

ubuntu

около 2 месяцев назад

OpenVPN 2.7_alpha1 through 2.7_beta1 on POSIX based platforms allows a remote authenticated server to inject shell commands via DNS variables when --dns-updown is in use

CVE-2025-10680

CVSS3: 8.8

nvd

около 2 месяцев назад

OpenVPN 2.7_alpha1 through 2.7_beta1 on POSIX based platforms allows a remote authenticated server to inject shell commands via DNS variables when --dns-updown is in use

CVE-2025-10680

CVSS3: 8.8

debian

около 2 месяцев назад

OpenVPN 2.7_alpha1 through 2.7_beta1 on POSIX based platforms allows a ...

GHSA-wfq6-x28p-qgh6

CVSS3: 8.8

github

около 2 месяцев назад

OpenVPN 2.7_alpha1 through 2.7_beta1 on POSIX based platforms allows a remote authenticated server to inject shell commands via DNS variables when --dns-updown is in use

EPSS

Процентиль: 38%

0.00161

Низкий

8.8 High

CVSS3

9 Critical

CVSS2