OpenVPNでクリティカルな脆弱性(CVE-2025-2704) –tls-crypt-v2環境でサーバークラッシュのリスク

2025年4月、OpenVPNは、サーバーをクラッシュさせる恐れのある重大な脆弱性（CVE-2025-2704）に対応するセキュリティアップデートを公開しました。対象者はアップデートする事をお勧めします。

脆弱性の対象バージョン

2.6.1 から 2.6.13 かつ、 –tls-crypt-v2 オプションを有効にしている場合

この脆弱性はOpenVPN クライアントや OpenVPN 2.4 または 2.5 サーバー、あるいは –tls-crypt-v2 なしで実行されている 2.6 サーバーには影響しません。

脆弱性の対策バージョン

2.6.14 以上

アップデートできない場合は、 –tls-crypt-v2 オプションを一時的に無効にする。

脆弱性の概要

–tls-crypt-v2は、TLS制御チャネルのパケットを暗号化・認証するために使用されるオプションであり、プライバシー強化やDPI（Deep Packet Inspection）回避の手段として多くの環境で利用されています。

条件を満たすサイバー攻撃者が、正規のパケットと不正なパケットを特定の順序で送信することで、サーバー内部のクライアント状態が破損し、ASSERT文（自己検証機構）が発動してプロセスが異常終了します。

ただし、OpenVPNのセキュリティアドバイザリによれば、暗号強度やデータの機密性には影響はなく、情報漏えいやリモートコード実行は発生しません。