CVE-2026-41070: openvpn-auth-oauth2: autenticação inadequada no modo plugin experimental
A CVE-2026-41070 é uma falha de autenticação inadequada no openvpn-auth-oauth2 que afeta as versões a partir de 1.26.3 até antes da 1.27.3, somente quando o componente é usado no modo plugin experimental. Clientes sem suporte a WebAuth/SSO podem ser admitidos na VPN mesmo quando a lógica de autenticação os nega. A pontuação CVSS 3.1 de 10.0 é informada pelo CNA do GitHub, e o registro indica correção na versão 1.27.3.
Visão geral
A CVE-2026-41070 afeta o openvpn-auth-oauth2, um cliente que conecta servidores OpenVPN a autenticação single sign-on baseada em OIDC. Segundo o registro, a falha aparece apenas no modo experimental de plugin, em que o OpenVPN depende do código de retorno do plugin para decidir se admite uma conexão.
Impacto
- Clientes que não suportam WebAuth/SSO podem ser admitidos na VPN mesmo quando a lógica de autenticação os nega.
- O vetor CVSS 3.1 informado pelo CNA do GitHub indica vetor de rede, sem privilégios, sem interação do usuário, mudança de escopo e alto impacto em confidencialidade e integridade. O impacto em disponibilidade é listado como nulo.
- A fraqueza é classificada como CWE-287, Autenticação Inadequada.
Produtos e versões afetadas
- openvpn-auth-oauth2 da versão 1.26.3 até antes da 1.27.3, somente quando implantado no modo experimental de plugin.
- O modo padrão de interface de gerenciamento é informado como não afetado.
- Os campos estruturados de versões afetadas e correções do registro estão vazios; o intervalo de versões foi extraído do texto da descrição.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize para o openvpn-auth-oauth2 na versão 1.27.3 ou posterior, conforme informado no registro.
- Se a atualização não puder ser aplicada imediatamente, verifique se o modo experimental de plugin está em uso. Quando compatível com a sua implantação, considere o modo padrão de interface de gerenciamento, que a descrição indica não ser afetado. Valide qualquer mudança em ambiente de testes antes.
- Consulte o aviso de segurança no GitHub e o commit referenciado para detalhes do mantenedor.
Orientações de detecção
- Revise os logs do servidor OpenVPN em busca de sessões estabelecidas por clientes que não concluíram o fluxo SSO.
- Verifique a configuração do servidor quanto à diretiva plugin que carrega a biblioteca compartilhada do openvpn-auth-oauth2.
- Compare conexões VPN bem-sucedidas com os registros de login do provedor de identidade para encontrar sessões sem autenticação SSO correspondente.
Limitações das informações disponíveis
- O registro não possui dados estruturados de versões afetadas ou corrigidas e não traz pontuação CVSS atribuída pelo NVD nos campos fornecidos; há apenas uma pontuação CVSS 3.1 do CNA do GitHub.
- O registro não descreve incidentes reais, quantidade de implantações afetadas nem as condições exatas em que a falha foi descoberta.
- Os valores EPSS estão presentes no registro, mas esta análise não os usa para inferir exploração.
Perguntas frequentes
Quais implantações são afetadas pela CVE-2026-41070?
Segundo o registro, apenas implantações do openvpn-auth-oauth2 da versão 1.26.3 até antes da 1.27.3 que usam o modo experimental de plugin são afetadas. O modo padrão de interface de gerenciamento é informado como não afetado.
Existe correção para esta vulnerabilidade?
O registro informa que o problema foi corrigido na versão 1.27.3. Atualizar para essa versão ou posterior é a correção indicada na descrição.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.