Уязвимость в VPN-приложении от ЛК раскрывала IP-адреса пользователей
Уязвимые версии приложения не направляют DNS-запросы через безопасный туннель.
Исследователь безопасности Дхираж Мишра (Dhiraj Mishra) обнаружил уязвимость в разработанном «Лабораторией Касперского» Android-приложении VPN. По словам исследователя, версия инструмента Kaspersky VPN – Secure Connection 0.0.0.0 и более ранние раскрывают DNS-серверам названия посещаемых сайтов и публичные IP-адреса пользователей.
Проблема заключается в том, что уязвимые версии приложения не направляют DNS-запрос через безопасный туннель. Другими словами, для пользователей, желающих сохранить анонимность, скрыв свой публичный IP-адрес, инструмент бесполезен.
При каждом посещении сайта с устройства, где установлен Kaspersky VPN – Secure Connection, браузер ищет его IP-адрес и подключается к DNS-серверу. Как обнаружил Мишра, этот запрос не направляется через VPN-туннель, поэтому сервис DNS может регистрировать доменные имена посещаемых сайтов, время посещения и публичный IP-адрес пользователя.
Исследователь сообщил производителю о проблеме в апреле текущего года. Уязвимость была исправлена в версии 0.0.0.0, выпущенной в мае.
Источник: securitylab.ru