Update to Kerio Control 9.2.8

    Уважаемые партнеры GFI,

    16 октября 2018 года GFI предупредили о серьезной уязвимости в Kerio Control VPN. Эта уязвимость позволяет злоумышленнику заменить любой контент трафика VPN. Она связано с слабой криптографией, которая существует с момента первоначального выпуска Kerio Control VPN.

    Инженеры команды GFI обновили шифрование Kerio Control VPN до более позднего стандарта от BlowFish до AES 128. По этой причине предлагается всем обновить программное обеспечение Kerio Control до последней версии 9.2.8. Эта новая версия, помимо наличия «заплатки» в VPN, также имеет увеличенную производительность в VPN-трафике на 40%. Обратите внимание, что клиент Kerio Control VPN необходимо обновить. Новый клиент инициирует новый канал шифрования в Kerio Control VPN и он не будет работать со старым программным обеспечением Kerio Control. Для получения дополнительной помощи, пожалуйста, откройте «новый запрос» в тех поддержку, посетив портал поддержки GFI на странице accounts.gfi.com.

    Пожалуйста, ознакомьтесь с приведенными ниже инструкциями при обращении за помощью:

    Dear Valued GFI Partner,

    On October 16, 2018 GFI was alerted by Sec Consul on a serious vulnerability in Kerio Control VPN. This vulnerability allows an attacker to replace any content of the VPN traffic. Such vulnerability discloses how one can actually perform such action. This is due to weak cryptography that has been there since the initial release of Kerio Control VPN.

    Our Engineering teams have upgraded Kerio Control VPN encryption to a later standard from BlowFish to AES 128.

    For this reason we suggest everybody to upgrade their Kerio Control software to the latest version 9.2.8. This new version apart from having a secure VPN without the disclosed vulnerability also has an increased performance of 40% in VPN traffic.

    Please note that even the Kerio Control VPN client needs to be updated. This new client will trigger the new encryption channel. The new Kerio Control VPN client will not work with older Kerio Control software.

    For further assistance, please open a support ticket with GFI Support by accessing the GFI Support portal on accounts.gfi.com.

    Please make sure you refer to the below guidance when speaking to customers:

    How to identify if vulnerable VPN Clients are connecting to Kerio Control



    Open Kerio Control administrative console

    Click Status from left sidebar

    Click VPN Clients

    Here you have displayed the list of VPN Clients (if the version column is not visible right click on the header, click Columns and click Version)

    Vulnerable clients are version 9.2.7 or earlier


    Updating Kerio Control VPN


    Download the latest version of Kerio Control VPN software for the OS of choice (Download Page)

    Make sure it's version 9.2.8 or higher

    Run the installer (Instructions Page)


    How to create alters in case the client is still using the old Kerio Control Client



    Go to Logs (left tab)


    Select Debug log


    Right click on log text and select Messages


    In the Messages dropdown scroll down to Kerio VPN


    Select VPN Clients


    Click on OK


    Now go to Settings (left tab)


    Select Accounting and Monitoring


    Select tab Alert Settings


    Click on Add


    Enter email address to receive the alert


    Click Log Message


    In Name enter: BlowFish VPN Client Connect


    Log select Debug


    Condition type in: .*?Cipher configured. Cipher Type:BLF User:.*


    Tick Use Regular Expression


    Click OK


    Click OK in Edit Alerts dialog



    For more detailed information, please read our knowledge base article.

    This week we will send out communications to Kerio Control customers globally.

    If you have any questions, please reach out to your Channel Account Manager or to your distributor.

    GFI Software, Aurea SMB Solutions