OpenVPN 2.7.8: как нулевой байт в сертификате может обойти защиту

Прочитал в Dev Community, что в OpenVPN 2.7.8 исправили уязвимость CVE-2026-84790, связанную с обходом проверки сертификатов через нулевой байт в поле subject. Уязвимость затрагивает версии с 2.3.0 по 2.7.7, позволяет подделать идентичность при подписи сертификата, если в поле имени или email попадает символ NUL. Это может привести к обходу аутентификации, особенно в системах, где такие поля используются как идентификаторы. Повышенный риск — для сервисов, где сертификаты выдаются автоматически или через самоподписные порталы.

Считаю, что это не просто «ещё одна уязвимость в OpenVPN» — это система риска. Проблема в том, что уязвимость встроена в процесс выдачи, а не в сам VPN. Даже если обновить сервер, старые сертификаты с нулевым байтом остаются опасными. Их нужно не просто забрать, а отозвать — иначе злоумышленник, уже получивший такой сертификат, может использовать его сколько угодно.

На мой взгляд, ключевое — не просто обновить OpenVPN, а проверить всю систему выдачи. Если кто-то в вашей инфраструктуре вводит имя пользователя через скрипт или импорт из каталога, где может быть непечатный символ — он уже может быть источником уязвимости. Проверка входных данных на наличие нулевых байтов — это не лишняя мера, а база безопасности.