OpenVPN’in ilk sürümlerinde, kötü amaçlı sunucuların istemci makinelerde rastgele komutlar yürütmesine olanak tanıyan yeni bir güvenlik açığı ortaya çıktı.
Kusur, OpenVPN’in 2.7_alpha1’den 2.7_beta1’e kadar olan sürümlerini etkileyerek Linux, macOS ve BSD çeşitleri gibi POSIX tabanlı sistemlerde komut dosyası enjeksiyon saldırılarına olanak tanıyor.
Sorun, –dns ve –dhcp-option argümanlarının yetersiz şekilde sterilize edilmesinden kaynaklanıyor. Bir istemci güvenilmeyen bir VPN hizmetine bağlandığında, bu parametreler temizlenmeden –dns-updown komut dosyası kancasına iletilir.
Bu gözetim, saldırganların istemci cihazına yükseltilmiş ayrıcalıklarla çalışan kötü amaçlı komutlar yerleştirmesine olanak tanıyarak veri hırsızlığı, kötü amaçlı yazılım dağıtımı veya tüm sistemin tehlikeye atılması riskini doğurur.
Güvenlik araştırmacıları, uzaktan erişim veya güvenli ağ oluşturma için bu beta yapılara güvenen kullanıcıların, özellikle üçüncü taraf VPN sağlayıcılarını içeren kurumsal veya kişisel kurulumlarda anında risklerle karşı karşıya oldukları konusunda uyarıyor.
OpenVPN – Komut Dosyası Enjeksiyon Saldırısı
CVE-2025-10680 olarak tanımlanan güvenlik açığının CVSS puanı 8,1 (yüksek önem derecesi) olup, kimlik doğrulaması olmadan ağ üzerinden yararlanılabilirliğini vurgulamaktadır.
İstemcilerin sunucu tarafından yönlendirilen DNS yapılandırmalarının zararsız olduğunu varsaydığı güven modelinden yararlanır. Etkilenen Unix benzeri sistemlerde –dns-updown betiği bu girişleri doğrudan yürüterek komut enjeksiyonunun kapısını açar.
Yerleşik PowerShell entegrasyonunu kullanan Windows kullanıcıları da etkileniyor ancak birincil maruziyet Linux ve macOS’ta kalıyor.
Kavram kanıtı istismarları, ek komutları zincirlemek için geri tıklama veya noktalı virgül gibi kabuk meta karakterleriyle DNS dizelerinin işlenmesini içerebilir.
OpenVPN projesi henüz yaygın bir istismara dair bir kanıt doğrulamadı ancak acil güncelleme yapılması çağrısında bulunuyor.
OpenVPN 2.7_beta2 ile Yama Yayınlandı
Hızlı bir şekilde yanıt veren OpenVPN topluluğu, 27 Ekim 2025’te kritik düzeltmeler içeren 2.7_beta2 sürümünü yayınladı.
Bunlardan en önemlisi, DNS dizeleri için gelişmiş giriş temizliğidir; güvenilir ancak kötü amaçlı sunuculardan gelen enjeksiyon girişimlerini engeller.
Güncelleme aynı zamanda yeni bir openvpnservmsg.dll aracılığıyla olay günlüğünün iyileştirilmesi gibi Windows’a özgü sorunları da giderir ve Linux’ta IPv4 yayın yapılandırmasını geri yükler.
Ek hata düzeltmeleri arasında Windows’ta çoklu soket kurulumlarının daha iyi işlenmesi ve TAP modunda DHCP seçeneklerinin onarımı yer alıyor. Kullanıcılar beta2 yapısını resmi OpenVPN web sitesinden indirmeli ve üretim dışı ortamlarda test etmelidir.
Üretim kullanımı için, 2.7 stabil hale gelene kadar stabil 2.6.x sürümlerine bağlı kalmak tavsiye edilir. Bu olay, özellikle çeşitli işletim sistemi ekosistemlerinde VPN yazılımı betalarını doğrulamanın önemini vurgulamaktadır.
Günlük siber güvenlik güncellemeleri için bizi Google Haberler, LinkedIn ve X’te takip edin. Hikayelerinizi öne çıkarmak için bizimle iletişime geçin.
