CVE-2025-54870

چکیده

یک آسیب‌پذیری با شدت بالا در نرم‌افزار VTun-ng به‌دلیل ضعف در مدیریت خطا شناسایی شده است. در صورت عدم موفقیت در مقداردهی اولیه ماژول‌های رمزنگاری, ارتباط ممکن است به‌صورت متن ساده (Plaintext) ادامه یابد که ریسک افشای اطلاعات حساس را به‌دنبال دارد.

توضیحات

آسیب‌پذیری CVE-2025-54870 در نرم‌افزار VTun-ng، که برای ایجاد تونل مجازی بر بستر شبکه‌های TCP/IP طراحی شده، نسخه‌های 3.0.12 تا 3.0.17 را تحت تأثیر قرار می‌دهد. این آسیب‌پذیری ناشی از عدم مدیریت امن خطاها در هنگام ناموفق بودن مقداردهی اولیه ماژول‌های رمزنگاری است که در نتیجه آن، ارتباط ممکن است به‌صورت ناخواسته به انتقال داده‌ها به‌صورت متن ساده بازگردد.

این ضعف امنیتی به دلیل پیاده‌سازی نادرست متدهای مدیریت خطا به‌صورت امن (CWE-636)، اولین بار در نسخه 3.0.12 شناسایی شده و می‌تواند زمینه‌ساز افشای اطلاعات حساس در طول انتقال داده‌ها شود. آسیب‌پذیری مذکور در نسخه 3.0.18 با اصلاح سازوکار مدیریت خطا پچ شده است. تا زمان اعمال به‌روزرسانی، توصیه می‌شود از الگوریتم blowfish-256 استفاده نشود، چرا که این الگوریتم به‌طور خاص تحت تاثیر این آسیب پذیری است.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

نتیجه گیری

به مدیران سیستم‌ها و کاربران توصیه می‌شود در اسرع وقت نرم‌افزار VTun-ng را به نسخه 3.0.18 به‌روزرسانی کرده و تا پیش از انجام به‌روزرسانی، از استفاده از الگوریتم blowfish-256 خودداری کنند.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-54870
2. https://www.cvedetails.com/cve/CVE-2025-54870/
3. https://github.com/leakingmemory/vtun-ng/security/advisories/GHSA-m3jc-27c6-2wrf
4. https://github.com/leakingmemory/vtun-ng/commit/8c63982b6c487c52db1d56ab94c266f0bc857140
5. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-54870
6. https://nvd.nist.gov/vuln/detail/CVE-2025-54870
7. https://cwe.mitre.org/data/definitions/636.html