Résumé

contournement d'authentification dans openvpn (CVE-2026-41070). Des informations confidentielles peuvent être exposées. Exploitable via plugin.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

When openvpn-auth-oauth2 is deployed in the experimental plugin mode (shared library loaded by OpenVPN via the plugin directive), clients that do not support WebAuth/SSO (e.g., the openvpn CLI on Linux) are incorrectly admitted to the VPN despite being denied by the authentication logic. The default management-interface mode is not affected because it does not use the OpenVPN plugin return-code mechanism.

Impact

Authentication bypass — any VPN client that does not advertise WebAuth/SSO support (IV_SSO=webauth) is granted full network access without completing OIDC authentication.

This affects only deployments running the experimental plugin mode in versions 1.26.3 through 1.27.2. The default and recommended deployment via the management interface is not affected.

An unauthenticated attacker can connect to the OpenVPN server using any standard OpenVPN client that does not support webauth (e.g., the Linux openvpn CLI). The plugin correctly issues a client-deny command via the management interface, but returns OPENVPN_PLUGIN_FUNC_SUCCESS (status=0) to OpenVPN. Because the auth_control_file content is only consulted when the plugin returns FUNC_DEFERRED, OpenVPN interprets status=0 as "authentication passed" and admits the client — granting full access to the internal network behind the VPN.

Root Cause

In lib/openvpn-auth-oauth2/openvpn/handle.go, the ClientAuthDeny branch of handleAuthUserPassVerify wrote "0" (d…

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-41070 a été découverte dans openvpn.
Des attaquants peuvent cibler un point d'entrée spécifique comme plugin à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 10.0/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « openvpn CVE-2026-41070 » sur le site de l'éditeur.

CVE-2026-41070 (openvpn) — CWE-287 / CVSS v3 10.0
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : plugin / openvpn / OPENVPN_PLUGIN_FUNC_SUCCESS / auth_control_file
Versions affectées : >= 1.26.3
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une contournement d'authentification (CWE-287) affecte openvpn. Les attaquants atteignent le code vulnérable via plugin sans authentification.

📍 Périmètre concerné

openvpn — Plage affectée : >= 1.26.3. Surface d'attaque : plugin / openvpn / OPENVPN_PLUGIN_FUNC_SUCCESS / auth_control_file.

🔥 Gravité

Gravité : Critique (CVSS 10.0/10). Des informations confidentielles peuvent être exposées

🔧 Comment corriger

Mettre à jour vers la version corrigée selon l'avis éditeur. (Si une version vulnérable >= 1.26.3 est en production, planifiez immédiatement une fenêtre de maintenance.)

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Incidents passés similaires Incidents similaires extraits des CVE passées

CVE-2017-12129

OpenVPN user bypass due to flawed authentication logic, leading to unauthorized access.

Heartbleed

A serious OpenSSL vulnerability which enabled attackers to steal information from the server's memory.

CVE-2021-44228 (Log4Shell)

Remote code execution vulnerability in Log4j allowing attackers to gain full server access, highlighting severe misconfiguration risks.

Si cela arrivait dans votre entreprise Impact attendu selon le scénario métier

📌 In a corporate VPN network

Unauthorized users could gain access to internal resources, leading to data breaches or exposure of sensitive information.

📌 Within a remote development environment

Developers may unknowingly connect to unsecured environments, risking project integrity and intellectual property loss.

📌 For a financial service company

Unsecured access could lead to unauthorized financial transactions, causing significant financial and reputational damage.

Action recommandée

Immediately update the openvpn-auth-oauth2 plugin to version 1.27.3 or higher and audit current plugin modes to switch any affected setups to management interface mode.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
grep -r 'openvpn' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で openvpn を grep し、稼働しているサービス・バージョンを把握する。
2
Match against affected range verify
```
Confirm if version satisfies `>= 1.26.3`
```
Step 1 で見つかったバージョンが影響範囲 >= 1.26.3 に該当するか照合。本番で稼働中ならインシデント扱い。
7
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

Paquets affectés

go github.com/jkroepke/openvpn-auth-oauth2

[{"type":"SEMVER","events":[{"introduced":"1.26.3"},{"fixed":"1.27.3"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Debian DEBIAN-CVE-2026-41070 openvpn-auth-oauth2 Corrigé dans: 1.27.3-1
Ubuntu UBUNTU-CVE-2026-41070 openvpn-auth-oauth2

Contournement d'authentification dans openvpn (CVE-2026-41070)