OpenVPN 2.7.7 보안 릴리스 공개 - 신뢰성 계층과 윈도우 서비스 등 CVE 7건 수정

OpenVPN 커뮤니티 에디션 2.7.7이 2026년 9월 3일 나왔습니다. 버그 수정 위주 릴리스지만 보안 취약점 7건이 한꺼번에 정리된 판이라 운영 중인 서버가 있다면 그냥 넘길 판은 아닙니다. 수정 내역은 프로젝트 공식 체인지로그(Changes.rst)에 CVE 번호와 함께 정리돼 있습니다.

가장 넓게 영향을 주는 건 CVE-2026-84732입니다. 신뢰성 계층(reliable layer)의 문제로, TLS 재전송 타임아웃이 무한정 늘어날 수 있는 버그와, 정상적으로는 미확인 상태일 수 없는 패킷의 ack를 잘못 처리하던 버그 두 가지를 함께 고쳤습니다. 이 부분은 특정 OS에 한정된 문제가 아니라 프로토콜 처리 공통 경로라 리눅스 서버 운영자도 해당됩니다. 나머지는 대부분 윈도우 쪽입니다. openvpnserv에서 IDN 도메인을 UTF8로 다룰 때 발생하는 버퍼 오버리드(CVE-2026-78221), DHCP 검색 도메인 옵션 처리 중 1바이트 오프바이원 오버플로(CVE-2026-81738), CreateProcess() 인자 인용 처리로 검증 스크립트를 우회할 수 있던 문제(CVE-2026-84256), tapctl가 netsh.exe를 전체 경로로 호출하지 않던 문제(CVE-2026-84226), 시스템 객체에 NULL DACL을 쓰던 로컬 서비스 거부 문제(CVE-2026-82312), 설정 경로 검증 강화(CVE-2026-78043)까지 포함됩니다.

보안 외에 눈에 띄는 변경도 하나 있습니다. EPOCH 데이터 채널 포맷에서 미리 보관하는 미래 키(future keys) 수를 16개에서 4개로 줄였습니다. 고처리량 링크에서 로그 잡음과 자원 사용을 줄이려는 조정으로 보입니다. 이 밖에 TCP 핸드셰이크, UDP 체크섬 처리, OpenSSL HMAC 키 관리 관련 네트워킹 버그도 함께 정리됐습니다.

실제 악용 보고가 붙은 릴리스는 아니지만, 신뢰성 계층 수정은 플랫폼을 가리지 않고 윈도우 서비스 취약점은 종류가 여러 개라 업그레이드를 미룰 이유는 없어 보입니다. 특히 윈도우에서 openvpnserv나 tapctl을 쓰는 환경, 그리고 외부에 노출된 VPN 게이트웨이라면 2.7.7 적용을 우선순위로 잡는 게 안전합니다.

🔗 https://github.com/OpenVPN/openvpn/blob/v2.7.7/Changes.rst

🔗 https://linuxiac.com/openvpn-2-7-7-released-with-seven-security-fixes/