OpenVPN sous Ubuntu : appliquer le correctif, puis redémarrer le service

L’identité après la connexion compte aussi

Le bulletin Ubuntu rattache ce défaut à CVE-2026-84790. Il parle d’un utilisateur distant authentifié, pas d’un visiteur sans compte qui pourrait ouvrir n’importe quel VPN. La mauvaise gestion de champs du sujet des certificats peut permettre de se faire passer pour un autre utilisateur et d’obtenir des accès réseau non prévus.

Pour l’administrateur, voir un tunnel connecté ne suffit donc pas. Il faut aussi que l’identité reconnue corresponde aux droits attendus. Le bulletin ne donne pas de procédure pour auditer toutes les règles d’autorisation et ne signale pas d’exploitation active. Nous n’avons pas reproduit la faille.

La fiche NVD décrit la plage amont 2.7_alpha1 à 2.7.7 incluse, tandis qu’Ubuntu fournit aussi des paquets corrigés dans ses branches 2.5 et 2.6. Ces périmètres ne coïncident pas. La fiche NVD ne contient pas encore de configuration CPE : ne déclarez pas un paquet Ubuntu sûr sur son seul préfixe de version ; suivez son bulletin de distribution.

Comparer le numéro complet du paquet Ubuntu

Voici les paquets openvpn corrigés indiqués par Ubuntu. Les suffixes font partie du repère : une distribution peut intégrer un correctif sans adopter le même numéro qu’une publication amont. Comparez la version installée à la ligne de votre système.

Prévoir la coupure avant de redémarrer

Ubuntu précise qu’une mise à jour standard doit être suivie d’un redémarrage d’OpenVPN. Installer le paquet ne permet pas, à lui seul, de conclure que le processus en cours utilise le code corrigé.

Si ce VPN est votre seul chemin d’administration à distance, préparez un accès de secours que vous contrôlez et un créneau d’intervention avant de couper le service. Après la mise à jour, contrôlez le paquet, le redémarrage et une nouvelle connexion autorisée. Vérifiez ensuite qu’un compte de test n’accède qu’aux ressources prévues, sur des données non sensibles. Ce contrôle est notre recommandation de maintenance, pas un test de vulnérabilité fourni par Ubuntu.

• Identifier les ressources et les accès de votre réseau↗

Un bulletin OpenVPN ne décrit pas tous les VPN

Cette liste concerne les paquets Ubuntu nommés dans USN-8953-1. Elle ne suffit pas à déclarer vulnérable ou corrigée une application commerciale, un routeur ou un autre système qui utilise OpenVPN. Pour un service géré, demandez à l’opérateur comment il traite cette CVE ; ne remplacez pas son application par un paquet destiné à votre serveur.

Le correctif ne vérifie pas à votre place les comptes encore actifs ni leurs droits réseau. Gardez ces deux contrôles séparés : logiciel maintenu d’un côté, accès voulus de l’autre.