FICHE CVE

CVE-2026-63649

Publiée le 2026-08-14 · Dernière modification le 2026-09-01

🇫🇷 EN BREF

Les installations d'OpenVPN sur Windows (versions 2.4.0 à 2.6.21 et 2.7_alpha1 à 2.7.5) sont affectées par une faille dans le service interactif. Un utilisateur disposant déjà d'un compte local sur le système peut contourner les restrictions de répertoire pour charger des fichiers de configuration non autorisés. Cela nécessite une authentification locale ainsi qu'une action spécifique de l'utilisateur pour être déclenché, mais l'attaque est relativement simple à exécuter une fois que ces conditions sont réunies.

CVSS 4.04.1 MOYENNE

Type de faiblesse

CWE-183

Publiée2026-08-14

Dernière modification2026-09-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurActive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Windows interactive service in OpenVPN 2.4.0 through 2.6.21 and 2.7_alpha1 through 2.7.5 allows local authenticated users to bypass the trusted configuration directory constraint and load arbitrary configuration files via crafted options that bypass whitelist checks