La comunidad de OpenVPN ha lanzado una actualización crítica para corregir una vulnerabilidad que afecta a servidores configurados con la opción –tls-crypt-v2. Esta vulnerabilidad, identificada como CVE-2025-2704, puede provocar un bloqueo del servidor y una interrupción de las conexiones seguras.
Características de la vulnerabilidad
La falla no compromete los datos cifrados ni permite la ejecución remota de código. Sin embargo, puede causar una denegación de servicio (DoS), lo que podría interrumpir las comunicaciones seguras para usuarios en todo el mundo.
Versión afectada y condiciones
Las versiones OpenVPN 2.6.1 a 2.6.13 son vulnerables si se configuran con la opción –tls-crypt-v2. Esta configuración se emplea comúnmente para cifrar y autenticar paquetes del canal de control TLS, lo que mejora la privacidad y la protección contra inspección profunda de paquetes (DPI).
Mecanismo de ataque
Según el aviso de seguridad, al recibir una combinación específica de paquetes entrantes —algunos autorizados y otros malformados—, el estado del cliente en el servidor se corrompe. Esto activa una autocomprobación que hace que el servidor abandone con un mensaje ASSERT, lo cual puede provocar la interrupción de conexiones para cientos o miles de usuarios.
Requisitos para un ataque exitoso
- Poseer una clave de cliente tls-crypt-v2 válida, o
- Monitorear el tráfico de red e inyectar paquetes especialmente diseñados durante el protocolo TLS.
Solución y recomendaciones
Se recomienda actualizar inmediatamente a OpenVPN 2.6.14 o superior si se utiliza un servidor con la opción –tls-crypt-v2. En caso de que no sea posible realizar la actualización, se puede desactivar esta opción como solución temporal, aunque esto podría reducir las funciones de privacidad.
Confirmación del aviso
El aviso confirma que CVE-2025-2704 no compromete el cifrado ni permite la filtración de datos. Además, se destaca que no es posible la ejecución remota de código.