CVE-2026-84732 в Ubuntu: отказ в обслуживании OpenVPN и порядок проверки

CVE: CVE-2026-84732
Продукт: Ubuntu
Дата публикации: 07.09.2026
Критичность: HIGH
CVSS: 8.7 (4.0)
EPSS: 0,54%; процентиль 43,77%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В OpenVPN обнаружена уязвимость, позволяющая удалённому атакующему вызвать отказ в обслуживании через переполнение целочисленного значения при обработке пакетов ACK. В Ubuntu затронуты все LTS-релизы, включая версии с поддержкой Ubuntu Pro. Материал описывает механику ошибки, перечисляет уязвимые версии пакетов и даёт команды для проверки статуса системы.

Основные характеристики​

Риск представляет собой отказ в обслуживании (DoS) на уровне сетевого стека OpenVPN. Атакующему не требуется аутентификация, а атака возможна удалённо через сеть. Ущерб ограничивается доступностью сервиса, конфиденциальность и целостность данных не затрагиваются.

• Тип ошибки: CWE-190 (Integer Overflow). Переполнение происходит в логике обработки таймаутов при повторной передаче пакетов.
  
• CVSS 4.0: 8.7 (HIGH). Вектор: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L. Высокая оценка обусловлена удалённым доступом и отсутствием требований к правам.
  
• Условия атаки: Атакующий должен иметь сетевой доступ к порту OpenVPN. Интеракция с пользователем не требуется.
  
• Эксплуатация: В каталоге CISA KEV уязвимость не числится. Публичные данные о массовой эксплуатации отсутствуют.
  
• EPSS: 0,54% (процентиль 43,77%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но не нулевая.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет openvpn в дистрибутивах Ubuntu. Согласно данным Ubuntu OSV, все перечисленные ниже версии считаются уязвимыми, а исправленные версии в текущих базах данных не указаны (поле availability пусто).

• Ubuntu 14.04 LTS (ESM): 2.3.2-7ubuntu3.2+esm2
  
• Ubuntu 16.04 LTS (ESM): 2.3.10-1ubuntu2.2+esm2
  
• Ubuntu 18.04 LTS (ESM): 2.4.4-2ubuntu1.7+esm1
  
• Ubuntu 20.04 LTS: 2.4.12-0ubuntu0.20.04.2
  
• Ubuntu 22.04 LTS: 2.5.11-0ubuntu0.22.04.4
  
• Ubuntu 24.04 LTS: 2.6.19-0ubuntu0.24.04.3
  
• Ubuntu 26.04 LTS: 2.7.0-1ubuntu1.2
  

Для систем, использующих Ubuntu Pro, актуальны версии из репозиториев ESM. Администраторам необходимо проверить установленные версии на всех узлах, где запущен OpenVPN.

Причина уязвимости​

Причина уязвимости кроется в некорректной обработке целочисленных значений при повторной передаче (retransmission) пакетов подтверждения (ACK) в протоколе OpenVPN.

Когда OpenVPN обрабатывает входящие ACK-пакеты, он обновляет внутренние таймеры и счётчики. Если атакующий направляет специально сформированные пакеты, содержащие определённые значения ID, происходит переполнение целочисленного поля, связанного с таймаутом. Это приводит к непредсказуемому поведению программы, вплоть до её аварийного завершения или зависания, что и вызывает отказ в обслуживании.

Как работает атака​

Атака реализуется на сетевом уровне. Атакующий не нуждается в учётных данных или установлении полноценного VPN-туннеля. Достаточно иметь возможность отправлять UDP-пакеты на порт, где слушает OpenVPN.

Механизм атаки строится на отправке серии пакетов ACK с манипулированными идентификаторами. Эти пакеты заставляют сервер OpenVPN выполнять логику повторной передачи, где и происходит переполнение.

Поскольку проверка валидности значений в этом коде отсутствует или недостаточна, арифметическая ошибка приводит к сбою процесса. Атака не требует сложной инфраструктуры и может быть проведена с любого узла в сети.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости атакующему необходимо выполнить следующие условия:

• Сетевой доступ: Наличие маршрута до сервера OpenVPN и открытого UDP-порта (по умолчанию 1194, но может быть настроен иначе).
  
• Знание конфигурации: Понимание того, как OpenVPN обрабатывает ACK-пакеты в конкретной версии, чтобы сформировать корректные «спаренные» значения для триггера переполнения.
  
• Отсутствие фильтрации: Если на периметре сети работают строгие фильтры, блокирующие нестандартные пакеты или ограничивающие частоту запросов, атака может быть затруднена, но не исключена полностью.
  

Возможный сценарий атаки​

Типичный сценарий атаки выглядит следующим образом. Атакующий сканирует сеть в поиске открытых портов OpenVPN. После обнаружения целевого узла он начинает отправлять на него UDP-пакеты, имитирующие ACK-сообщения протокола.

В этих пакетах специально подбираются значения полей, которые при обработке сервером приводят к переполнению таймера. При получении такого пакета процесс OpenVPN завершается с ошибкой или зависает.

Клиенты, подключённые к этому серверу, теряют соединение. Атакующий может повторять атаку, поддерживая состояние отказа в обслуживании. Восстановление сервиса возможно только после перезапуска процесса OpenVPN.

Есть ли публичный эксплойт​

На момент публикации статьи в каталоге CISA KEV CVE-2026-84732 не числится. Это означает, что уязвимость не признана активно эксплуатируемой в дикой природе.

Публичные PoC (Proof of Concept) или готовые эксплойты в открытых базах данных не обнаружены. Однако наличие технического описания механизма переполнения позволяет атакующим с достаточными навыками разработать собственный эксплойт. Отсутствие публичного кода не гарантирует безопасность, если сервис доступен из интернета.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для этой уязвимости в официальных источниках не опубликованы. Ниже приведены неспецифичные признаки, которые могут указывать на попытку атаки или её последствия:

• Аварийное завершение процесса: Записи в логах OpenVPN или systemd о неожиданном завершении процесса openvpn.
  
• Аномальный трафик: Резкий рост количества UDP-пакетов на порт OpenVPN от одного или нескольких IP-адресов.
  
• Потеря соединений: Массовые обрывы VPN-соединений клиентов без видимых причин на стороне сети или оборудования.
  

Как обнаружить атаку​

Для обнаружения атаки и последствий уязвимости рекомендуется использовать следующие методы:

• Мониторинг логов: Анализ логов OpenVPN (уровень verb 3 и выше) и системных логов (/var/log/syslog, journalctl) на предмет аварийных остановок процесса.
  
• Сетевой анализ: Использование IDS/IPS для отслеживания аномальных паттернов UDP-трафика на порту OpenVPN. Ищите пакеты с подозрительно высокими значениями ID или частотой отправки.
  
• Мониторинг доступности: Настройка алертов на недоступность VPN-сервиса. Внезапное прекращение работы сервиса без плановых работ — повод для проверки.
  

Как проверить свою версию​

Для проверки версии установленного пакета OpenVPN в Ubuntu используйте следующие команды. Замените <имя-пакета> на openvpn, если команда не принимает его явно.

# Проверка версии пакета через apt
dpkg -l | grep openvpn

# Альтернативный способ через apt-cache
apt-cache policy openvpn

# Проверка версии ядра и ОС (контекст)
cat /etc/os-release
uname -r

Также полезно проверить статус безопасности системы:

ubuntu-security-status

Сравните полученную версию с списком уязвимых версий в разделе «Какие продукты и версии затронуты». Если версия совпадает, система уязвима.

Исправление​

Основным методом устранения уязвимости является обновление пакета openvpn до исправленной версии. Поскольку в текущих данных Ubuntu OSV исправленные версии не указаны (поле availability пусто), рекомендуется:

• Подписаться на обновления: Убедитесь, что система подключена к репозиториям безопасности Ubuntu (security.ubuntu.com).
  
• Проверить наличие обновлений: Выполните apt update и apt list --upgradable | grep openvpn. Если обновление доступно, установите его.
  
• Для ESM-версий: Пользователи Ubuntu Pro должны убедиться, что подписка активна и обновления из репозиториев ESM применяются.
  

Если исправление ещё не выпущено, рассмотрите временные меры защиты, описанные ниже.

Временные меры защиты​

Пока исправление не выпущено, можно снизить риск атаки с помощью следующих временных мер:

• Ограничение доступа: Настройте firewall (iptables/nftables) так, чтобы порт OpenVPN был доступен только из доверенных IP-адресов или через VPN-шлюз.
  
• Rate Limiting: Ограничьте частоту входящих UDP-пакетов на порт OpenVPN. Это затруднит массовую отправку пакетов для триггера переполнения.
  
• Временная остановка: Если OpenVPN не критичен, временно остановите сервис: systemctl stop openvpn.
  
• Использование альтернатив: Если возможно, временно переключите пользователей на другой VPN-протокол или сервис, не содержащий данной уязвимости.
  

Как проверить устранение уязвимости​

После применения исправления необходимо убедиться, что уязвимость устранена:

1. Проверка версии: Убедитесь, что установленная версия пакета openvpn отличается от уязвимых, перечисленных выше. Используйте dpkg -l | grep openvpn.
   
2. Тестирование: Проведите функциональное тестирование VPN-соединения, чтобы убедиться, что сервис работает корректно.
   
3. Сканирование: Если возможно, проведите сканирование уязвимостей с помощью инструментов, поддерживающих CVE-2026-84732, чтобы подтвердить отсутствие уязвимости.
   
4. Мониторинг: Продолжайте мониторинг логов на предмет аномального поведения в течение нескольких дней после обновления.
   

Вывод​

CVE-2026-84732 представляет собой серьёзную угрозу для доступности сервисов OpenVPN в Ubuntu. Хотя уязвимость не числится в CISA KEV, её высокая CVSS-оценка и простота атаки делают её приоритетной для устранения.

Администраторам необходимо проверить версии пакетов, подписаться на обновления безопасности и при необходимости применить временные меры защиты. Регулярный мониторинг логов и сетевого трафика поможет вовремя обнаружить попытки эксплуатации.

Официальные источники​

1. NVD — CVE-2026-84732
   
2. Ubuntu OSV — CVE-2026-84732
   
3. FIRST EPSS — CVE-2026-84732
   

История обновлений статьи​

• 08.09.2026 — Опубликована первая версия материала.
  
• 09.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.