Οι διακομιστές που χρησιμοποιούν το λογισμικό ανοιχτού κώδικα OpenVPN για συνδέσεις που εκτελούνται μέσω ενός εικονικού ιδιωτικού δικτύου για λόγους ασφαλείας, μπορεί να παραβιαστούν με τη χρήση του bug Shellshock στη γραμμή εντολών Bash για το Linux.
Το OpenVPN επιτρέπει ουσιαστικά τη δημιουργία μιας «σήραγγας» μεταξύ του χρήστη και ενός ασφαλούς server. Στηρίζεται σε ένα πρωτόκολλο ασφάλειας χρησιμοποιώντας SSL / TLS για την ανταλλαγή των κλειδιών κρυπτογράφησης.
Αυτοί οι διακομιστές μπορεί να τεθούν σε κίνδυνο, επειδή το λογισμικό περιλαμβάνει επιλογές διαμόρφωσης που επιτρέπουν προσαρμοσμένες εντολές κατά την διάρκεια της συνεδρίας.
Ο Fredrik Strömberg, συν-ιδρυτής της σουηδικής εταιρείας VPN Mullvad, υποστηρίζει σε ένα μήνυμα ότι πολλές από τις εντολές είναι ήδη μεταβλητές που και σε ορισμένες περιπτώσεις μπορούν να ελέγχονται από τον πελάτη.
Ο ερευνητής έκανε την ανακάλυψη την περασμένη εβδομάδα και ήρθε σε επαφή με τους διαχειριστές του OpenVPN. Οι πάροχοι των υπηρεσιών VPN που χρησιμοποιούν αυτό το πακέτο, μπορούν να αποφύγουν το πρόβλημα με το Shellshock, διασφαλίζοντας ότι το Bash δεν χρησιμοποιείται για την εκτέλεση εντολών.
