Zraniteľná aplikácia ExpressVPN smeruje komunikáciu RDP mimo tunel
ExpressVPN vo svojej poslednej aktualizácii opravila chybu, ktorá spôsobuje, že komunikácia vedúca cez Remote Desktop Protocol neprechádza VPN tunelom.
Zraniteľné systémy:
- ExpressVPN Windows klient verzie 12.97 až 12.101.0.2-beta
Opis zraniteľnosti:
Verzia 12 klienta ExpressVPN pre Windows obsahuje bezpečnostnú chybu, ktorá za určitých okolností zapríčiňuje neanonymizovanú komunikáciu mimo VPN tunel. Jedná sa o dve konkrétne situácie, a to pripojenie cez RDP a TCP premávku smerovanú cez port 3389. Týmto spôsobom môže internetový poskytovateľ alebo iný účastník siete vidieť adresu servera na ktorý sa používateľ pripája.
Chybu, ktorá súvisí so zabudnutou, neodstránenou časťou kódu z testovacej verzie, objavil a nahlásil bezpečnostný analytik Adam-X.
Možné škody:
- Úplné narušenie dôvernosti systému
Odporúčania:
Dodávateľ služby odporúča aktualizáciu na verziu 12.101.0.45 ktorá mimo iných úprav obsahuje záplatu transparentného pripojenia.
Zdroje: