Zpětná vazba k reportu

Neověřený vzdálený útočník může v OpenVPN provést DoS útok pomocí specifické opakované TLS a TCP komunikace [1].

Zranitelnost se nachází v produktu:

• OpenVPN; ==2.6.22; ==2.7.6;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L

Více informací:

• CVE-2026-84732 na cve.org, NVD
• CWE-190: Integer Overflow or Wraparound na cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 9. 2026.

Ověřený lokální útočník může v OpenVPN pro Windows spustit libovolný kód podvržením útočníkem vytvořeného souboru netsh.exe (binary planting) [3].

Zranitelnost se nachází v produktu:

• OpenVPN; >=2.5.0; <2.7.7;

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

• CVE-2026-84226 na cve.org, NVD
• CWE-426: Untrusted Search Path na cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 9. 2026.

Ověřený vzdálený útočník může v OpenVPN pro Windows spouštět libovolné příkazy pomocí speciálně vytvořeného certifikátu [2][9].

Zranitelnost se nachází v produktu:

• OpenVPN; >=2.1_rc10; <2.7.7;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

• CVE-2026-84256 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org
• CWE-88: Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 9. 2026.

Ověřený lokální útočník může v OpenVPN pro Windows číst za hranicí vyhrazeného bufferu, a způsobit tak poškození paměti nebo získat přístup k potenciálně citlivým informacím [4].

Zranitelnost se nachází v produktu:

• OpenVPN; >=2.7_alpha1; <2.7.7;

CVSS: CVSS:4.0/AV:L/AC:H/AT:P/PR:L/UI:P/VC:H/VI:N/VA:H/SC:H/SI:N/SA:H

Více informací:

• CVE-2026-78221 na cve.org, NVD
• CWE-131: Incorrect Calculation of Buffer Size na cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 9. 2026.