严重安全警报：OpenVPN Windows 驱动曝缓冲区溢出漏洞，可致系统崩溃

OpenVPN 在 Windows 系统上的核心驱动程序 ovpn-dco-win 被发现存在严重缓冲区溢出漏洞，编号为 CVE-2025-50054。攻击者可在本地以普通用户权限向该驱动发送特制控制消息，触发堆溢出，导致整个系统崩溃。这一漏洞已对广泛使用 OpenVPN 的企业和个人用户构成实际威胁。

漏洞影响 OpenVPN 2.5.8 及之前版本，以及 ovpn-dco-win 1.3.0 及更早版本。该驱动自 OpenVPN 2.6 起成为默认组件，因此很多用户可能在不知情的情况下已受影响。研究人员指出，漏洞可被滥用于持续制造系统宕机，实现拒绝服务攻击。

OpenVPN 社区已发布 2.7_alpha2 版本以修复该问题，虽然该版本仍处于测试阶段，但已集成安全补丁。此次漏洞涉及的 ovpn-dco-win 驱动是为了提升 VPN 性能而开发的新一代内核驱动，其设计初衷是减少用户态与内核态之间的数据往返。但正因为运行在内核层，其一旦被利用，后果也更为严重。

该版本还引入了多个架构优化，并默认淘汰了旧版 wintun 驱动，以 win-dco 取而代之。OpenVPN 官方建议用户尽快关注更新信息，在稳定版本发布后立即升级。当前未能升级的用户应临时采取防护措施，例如限制本地用户访问 VPN 驱动接口，以降低风险。

专家提醒，此类系统级漏洞即便不涉及数据泄露，也具有极高的业务中断风险，特别是部署在生产服务器或远程办公环境中的系统应特别关注此次事件。