OpenVPN 2.7.8 закрыл две уязвимости: обход аутентификации и чтение за границами буфера

В OpenVPN 2.7.8 исправлены CVE-2026-88964 (целочисленное переполнение с чтением за границами буфера, CVSS 7.1) и CVE-2026-84790 (обход проверки подлинности через NUL в поле subject сертификата, CVSS 7.6). Обе требуют аутентифицированной позиции; обход затрагивает версии 2.3.0–2.7.7, чтение за границами — 2.7_alpha3–2.7.7 на Windows и Android.

• CVE-2026-84790: обход аутентификации через NUL в subject сертификата, CVSS 7.6
• CVE-2026-88964: чтение за границами буфера в PUSH_UPDATE, CVSS 7.1
• Уязвимы версии 2.3.0–2.7.7; исправление только в 2.7.8
• Обходных путей нет, данных об эксплуатации в открытых источниках нет