概要

openvpn に認証バイパス (CVE-2026-41070) が存在。機密情報が外部に流出する可能性があります。plugin 経由で攻撃可能。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Summary

When openvpn-auth-oauth2 is deployed in the experimental plugin mode (shared library loaded by OpenVPN via the plugin directive), clients that do not support WebAuth/SSO (e.g., the openvpn CLI on Linux) are incorrectly admitted to the VPN despite being denied by the authentication logic. The default management-interface mode is not affected because it does not use the OpenVPN plugin return-code mechanism.

Impact

Authentication bypass — any VPN client that does not advertise WebAuth/SSO support (IV_SSO=webauth) is granted full network access without completing OIDC authentication.

This affects only deployments running the experimental plugin mode in versions 1.26.3 through 1.27.2. The default and recommended deployment via the management interface is not affected.

An unauthenticated attacker can connect to the OpenVPN server using any standard OpenVPN client that does not support webauth (e.g., the Linux openvpn CLI). The plugin correctly issues a client-deny command via the management interface, but returns OPENVPN_PLUGIN_FUNC_SUCCESS (status=0) to OpenVPN. Because the auth_control_file content is only consulted when the plugin returns FUNC_DEFERRED, OpenVPN interprets status=0 as "authentication passed" and admits the client — granting full access to the internal network behind the VPN.

Root Cause

In lib/openvpn-auth-oauth2/openvpn/handle.go, the ClientAuthDeny branch of handleAuthUserPassVerify wrote "0" (d…

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

OpenVPNのプラグインを利用している企業では、認証に問題がある可能性があります。この問題により、特定のバージョン範囲(1.26.3から1.27.2)で認証されていない人もVPNにアクセスできてしまいます。このプラグインを使用している場合は、直ちにバージョンを1.27.3に更新するか、プラグインを使わない設定に切り替えることをお勧めします。過去にも同様の問題で大きな被害が発生しているため、迅速な対応が求められます。

この脆弱性はOpenVPNのプラグイン「openvpn-auth-oauth2」で発生します。バージョン1.26.3から1.27.2の間で、実験的なプラグインモードで使用される場合、認証が意図せず成功と扱われるバグがあります。具体的には、OIDC認証フローをサポートしないクライアント(LinuxのOpenVPN CLIなど)が、認証されずにVPNアクセスを得る可能性があります。この問題は、OpenVPNがFUNC_SUCCESSを受け取り、認証が完了したと誤認識するためです。修正バージョンは1.27.3で、プラグインを使わない管理インターフェイスモードへの切替が暫定回避策です。

❓ 何が問題か

openvpn に 認証バイパス (CWE-287) があります。攻撃者は plugin を経由して脆弱な処理に到達し、認証なしで悪用できます。

📍 影響範囲

openvpn のうち影響範囲: >= 1.26.3。攻撃箇所: plugin / openvpn / OPENVPN_PLUGIN_FUNC_SUCCESS / auth_control_file。

🔥 重要度

重要度: 最重要 (CVSS 10.0/10)。機密情報が外部に流出する可能性があります

🔧 修正方法

ベンダー公式アドバイザリの修正版に更新してください。(修正前: >= 1.26.3 該当バージョンが本番稼働中なら直ちに更新計画を立案)

🛡️ 暫定回避

修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

類似する過去の事例過去のCVE/インシデントから類似事例を抽出

CVE-2017-12129

OpenVPN user bypass due to flawed authentication logic, leading to unauthorized access.

Heartbleed

A serious OpenSSL vulnerability which enabled attackers to steal information from the server's memory.

CVE-2021-44228 (Log4Shell)

Remote code execution vulnerability in Log4j allowing attackers to gain full server access, highlighting severe misconfiguration risks.

もし自社で起きたら業務シナリオごとの想定影響

📌 In a corporate VPN network

Unauthorized users could gain access to internal resources, leading to data breaches or exposure of sensitive information.

📌 Within a remote development environment

Developers may unknowingly connect to unsecured environments, risking project integrity and intellectual property loss.

📌 For a financial service company

Unsecured access could lead to unauthorized financial transactions, causing significant financial and reputational damage.

推奨アクション

Immediately update the openvpn-auth-oauth2 plugin to version 1.27.3 or higher and audit current plugin modes to switch any affected setups to management interface mode.

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

1
影響範囲の特定 identify
```
grep -r 'openvpn' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で openvpn を grep し、稼働しているサービス・バージョンを把握する。
2
バージョン照合 verify
```
Confirm if version satisfies `>= 1.26.3`
```
Step 1 で見つかったバージョンが影響範囲 >= 1.26.3 に該当するか照合。本番で稼働中ならインシデント扱い。
7
事後検証 verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

影響パッケージ

go github.com/jkroepke/openvpn-auth-oauth2

[{"type":"SEMVER","events":[{"introduced":"1.26.3"},{"fixed":"1.27.3"}]}]

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

Debian DEBIAN-CVE-2026-41070 openvpn-auth-oauth2 修正版: 1.27.3-1
Ubuntu UBUNTU-CVE-2026-41070 openvpn-auth-oauth2

概要