Jak naprawić luki w zabezpieczeniach sterownika OpenVPN powodujące awarię systemu Windows

Jeśli doświadczasz awarii niebieskiego ekranu związanej z OpenVPN w swojej aplikacji VPN, nie jesteś sam. Ten problem jest wynikiem luki w zabezpieczeniach sterownika OpenVPN, co wymaga poprawki ze źródła. Ponieważ niezliczeni dostawcy VPN integrują protokół OpenVPN, wielu użytkowników systemu Windows napotyka ten krytyczny błąd. W dalszej części omówimy, jak zidentyfikować ten problem i wdrożyć środki zapobiegawcze, aby uniknąć poważnych awarii komputera.

Zrozumienie awarii OpenVPN w systemie Windows

OpenVPN stał się popularnym wyborem wśród aplikacji VPN. Jednak w czerwcu 2025 r.odkryto znaczną lukę w zabezpieczeniach związaną z przepełnieniem bufora w sterowniku OpenVPN data channel offload (DCO), znanym jako „ovpn-dco-win”.Ta luka powoduje awarie z niebieskim ekranem śmierci (BSoD).

Ten incydent nie jest odosobniony. Historyczne luki w architekturze wtyczki OpenVPN często stwarzały ryzyko, umożliwiając zdalne wykonywanie kodu i eskalację uprawnień. Na przykład Microsoft zidentyfikował cztery krytyczne luki w 2024 r.— w tym CVE-2024-27459 i CVE-2024-24974 — które naruszyły sterownik TAP systemu Windows, powodując scenariusze odmowy usługi (DoS).

Jeśli Twoja sieć VPN jest ustawiona na automatyczne uruchamianie w systemie Windows, możesz napotkać te awarie, chyba że dokonałeś aktualizacji do najnowszego klienta OpenVPN, „OpenVPN 2.7_alpha2” lub nowszego. Upewnij się, że Twój dostawca sieci VPN uwzględnia te aktualizacje w swoim kliencie Windows i priorytetowo potraktuj aktualizację bez opóźnień.

Klient OpenVPN blokuje dostęp do Internetu podczas uruchamiania.

Sterownik DCO odpowiada za krytyczne funkcje pakietów danych, takie jak szyfrowanie, deszyfrowanie i routing, które są wykonywane poprzez przeniesienie tych zadań z przestrzeni użytkownika do jądra systemu Windows. W przeciwieństwie do WireGuard, DCO OpenVPN działa w przestrzeni jądra, a te bliskie interakcje z systemem operacyjnym są często odpowiedzialne za awarie.

Poprzednie incydenty związane ze złośliwym oprogramowaniem na poziomie jądra podkreślają złożoność związaną z tego typu lukami, co pokazała luka CVE-2025-50054, w której nieprawidłowo sformatowane pakiety powodują awarie z powodu błędów pamięci niskiego poziomu.

Jak zidentyfikować i wyłączyć sterowniki OpenVPN w systemie Windows

Jeśli nie korzystasz z OpenVPN, rozważ wyłączenie jego sterowników. Wielu klientów VPN instaluje własne sterowniki, więc ważne jest, aby upewnić się, które z nich są dostępne w Twoim systemie.

Aby rozpocząć, otwórz Eksplorator plików i przejdź do „C:\Windows\System32\Drivers”.Tutaj poszukaj sterowników związanych z OpenVPN, takich jak sterownik DCO – „ovpn-dco.sys”.

Znalezienie sterownika DCO OpenVPN w katalogu System32.

Oprócz sterownika DCO należy zwrócić uwagę na wrażliwe sterowniki OpenVPN, takie jak TAP-Windows Adapter V9 („tapwindows6.sys”), sterownik Wintun („wintun.sys”) i interfejsy potoków nazwanych (np.„\\.\pipe\openvpn”).

Możesz śledzić te sterowniki w Menedżerze urządzeń. Uruchom polecenie Uruchom (Windows + R) i wpisz devmgmt.msc. Stamtąd przejdź do Karty sieciowe, aby znaleźć wpisy OpenVPN, takie jak DCO i TAP-Windows Adapter V9.

Wyświetlanie sterowników OpenVPN w Menedżerze urządzeń.

Jeśli chcesz zobaczyć wszystkie ukryte sterowniki OpenVPN w swoim systemie, otwórz PowerShell z uprawnieniami administratora. Wykonaj następujące polecenie:

Get-WmiObject Win32_SystemDriver | Where-Object { $_. Name -like "*ovpn*" -or $_. Name -like "*tap*" } | Select-Object Name, State, PathName, StartMode

Następnie rozważ całkowite odinstalowanie aplikacji OpenVPN i ręczne usunięcie wszystkich powiązanych sterowników, ponieważ mogą one pozostać na komputerze nawet po odinstalowaniu.

Jeśli używasz klienta VPN, takiego jak NordVPN lub ExpressVPN i nie potrzebujesz OpenVPN, zalecamy przejście na WireGuard jako alternatywę.

Ustawianie ograniczeń dostępu do sterowników OpenVPN

Ze względu na rozległą integrację OpenVPN z systemem operacyjnym jest on szczególnie podatny na błędy niskiego poziomu, które mogą prowadzić do poważnych problemów. Aby złagodzić potencjalne szkody, możliwe jest ograniczenie uprawnień dostępu dla zagrożonych sterowników OpenVPN bez konieczności odinstalowywania klienta VPN.

Otwórz program PowerShell w trybie administratora i wprowadź następujące polecenie:

$driverPath = "C:\Windows\System32\drivers\ovpn-dco.sys" icacls $driverPath /inheritance:r icacls $driverPath /grant:r "SYSTEM:R" "Administrators:R" icacls $driverPath /deny "Everyone:W"

Ograniczanie uprawnień sterownika DCO programu OpenVPN przy użyciu programu PowerShell.

Powyższe polecenie skutecznie usuwa odziedziczone uprawnienia, zapobiegając nieautoryzowanemu dostępowi, jednocześnie odmawiając dostępu do zapisu wszystkim użytkownikom (w tym złośliwemu oprogramowaniu).Dzięki temu pewni, że awarie sterowników nie narażą systemu na ryzyko.

Aby zablokować dostęp innym ukrytym sterownikom, uruchom polecenie ponownie, aktualizując jednocześnie ścieżkę sterownika tak, aby kierowała się na adapter TAP-Windows V9, „tapwindows6.sys”.

Blokowanie dostępu do TAP Connect w OpenVPN za pomocą polecenia.

Monitorowanie wystąpień BSoD powiązanych ze sterownikami OpenVPN

Podczas gdy OpenVPN szybko wydaje poprawki, wielu użytkowników opóźnia się z zastosowaniem aktualizacji. Aby proaktywnie zarządzać awariami i zapobiegać im, pobierz i zainstaluj narzędzie o nazwie Blue Screen View.

Po zainstalowaniu otwórz PowerShell w trybie administratora i wykonaj następujący skrypt, upewniając się, że zastąpisz $nirDirgo prawidłową ścieżką instalacji dla Blue Screen View. Ten skrypt monitoruje ostatnie zrzuty awaryjne, aby oznaczyć wszystkie powiązane ze sterownikami OpenVPN.

# Set path to your BlueScreenView directory (update if needed) $nirDir = "C:\Tools\BlueScreenView" # ← Change this to your actual path $csvPath = "$nirDir\bsod.csv" # Monitoring loop while ($true) { # Execute BlueScreenView in command-line mode and export to CSV Start-Process -FilePath "$nirDir\BlueScreenView.exe" -ArgumentList "/scomma `"$csvPath`"" -Wait # Import and analyze results $bsods = Import-Csv $csvPath -Header Dumpfile, Timestamp, Reason, Errorcode, Param1, Param2, Param3, Param4, CausedByDriver $recent = $bsods | Where-Object { ($_. Timestamp -as [datetime]) -gt (Get-Date). AddMinutes(-10) -and $_. CausedByDriver -match "ovpn|tap|wintun" } if ($recent) { Write-Warning "⚠️ BSoD caused by OpenVPN driver in the last 10 minutes!" $recent | Format-Table -AutoSize } else { Write-Host "✅ No recent OpenVPN-related BSoDs." } Start-Sleep -Seconds 600 # Delay 10 minutes before checking again }

Weryfikacja ostatnich incydentów BSoD związanych z OpenVPN.

Okno wyników ujawnia, czy ostatnio wykryto zdarzenia BSoD związane z OpenVPN.

Wdrażanie zasad ograniczeń oprogramowania dla sterowników OpenVPN

Użytkownicy systemów Windows w wersji Pro lub Enterprise mogą skorzystać z zasad ograniczeń oprogramowania dostępnych w Edytorze lokalnych zasad grupy, aby uniemożliwić uruchamianie sterowników OpenVPN bez zgody użytkownika.

Aby uzyskać dostęp do Edytora zasad grupy, wpisz „gpedit.msc” w poleceniu Uruchom. Poruszaj się po menu w następujący sposób: Konfiguracja komputera → Ustawienia systemu Windows → Ustawienia zabezpieczeń → Zasady ograniczeń oprogramowania → Dodatkowe reguły.

Kliknij prawym przyciskiem myszy ostatni element w Dodatkowych regułach i wybierz polecenie Nowa reguła ścieżki.

Tworzenie nowej reguły ścieżki w zasadach grupy lokalnej.

W oknie pop-up wklej ścieżkę sterownika. W tym scenariuszu użyj ścieżki dla sterownika DCO OpenVPN. Ustaw regułę na Disallowed, a następnie kliknij Apply, a następnie OK. Powtórz ten proces dla każdego dodatkowego sterownika, który chcesz ograniczyć.

Zablokowanie sterowników OpenVPN za pomocą reguły ścieżki zasad grupy.

Ponieważ OpenVPN utrzymuje sterowniki przestrzeni jądra, które mogą przetrwać nawet po odinstalowaniu aplikacji, te sterowniki często powodują awarię systemu Windows podczas uruchamiania. Postępując zgodnie z wyżej wymienionymi strategiami, możesz skutecznie złagodzić te ryzyka. Czy rozważasz nowe rozwiązanie VPN?

Źródło i obrazy