Ερευνητές ασφαλείας ανακάλυψαν ευπάθειες στο λογισμικό δημοφιλών (ProtonVPN και NordVPN) εικονικών ιδιωτικών δικτύων ή VPN, που επιτρέπει σε πιθανούς εισβολείς την εκτέλεση κακόβουλου κώδικα.
Την περασμένη εβδομάδα, ερευνητές της Cisco Talos ανακοίνωσαν τα ελαττώματα ασφαλείας, CVE-2018-3952 και CVE-2018-4010, που επιτρέπουν την εκτέλεση κώδικα από επιτιθέμενους σε μηχανές που τρέχουν Windows.
Τα τρωτά σημεία είναι παρόμοια με το ελάττωμα ασφαλείας κλιμάκωσης προνομίων των Windows που αποκαλύφθηκε από την VerSprite, και έχει καταγραφεί σαν CVE-2018-10169.
Από τον Απρίλιο υποτίθεται ότι έχουν διορθωθεί οι συγκεκριμένες ευπάθειες, αλλά σύμφωνα με την Talos, “παρά την επιδιόρθωση, εξακολουθεί να είναι δυνατή η εκτέλεση κώδικα σαν διαχειριστής στο σύστημα”.
Η αρχική ευπάθεια προκλήθηκε από ζητήματα σχεδιασμού και στα δύο VPN clients. Το UI των προγραμμάτων NordVPN και ProtonVPN τρέχει binaries με την άδεια του συνδεδεμένου χρήστη. Ο χρήστης αυτός έχει την επιλογή ρύθμισης του VPN.
Αυτές οι πληροφορίες αποστέλλονται στην υπηρεσία όταν γίνεται κλικ στο “connect” μέσω ενός αρχείου ρυθμίσεων του OpenVPN. Ωστόσο, η VerSprite μπόρεσε να δημιουργήσει ένα fake αρχείο OpenVPN το οποίο μπορούσε να φορτωθεί στην υπηρεσία, και να εκτελεστεί.
“Η μέθοδος “Connect” έχει πρόσβαση σε ένα instance που δίνει στον εισβολέα πρόσβαση στη γραμμή εντολών του OpenVPN,” αναφέρει η περιγραφή της ευπάθειας. “Ο εισβολέας μπορεί να καθορίσει ένα dynamic library plugin που θα εκτελείται για κάθε νέα σύνδεση στο VPN. Αυτό το plugin θα μπορεί να τρέχει κώδικα σαν SYSTEM user.”
Το κακόβουλο περιεχόμενο του αρχείου OpenVPN μπορεί να οδηγήσει σε παραβίαση της υπηρεσίας VPN, αποκάλυψη πληροφοριών και hijacking με τις κατάλληλες εντολές.
Και οι δύο VPN υπηρεσίες ενημέρωσαν τον κώδικα τους, προσθέτοντας ένα μηχανισμό ελέγχου για το περιεχόμενο του αρχείου ρυθμίσεων του OpenVPN.
Ωστόσο, η Cisco Talos αναφέρει ότι ο κώδικας που εφαρμόστηκε είχε ένα μικρό ελάττωμα το οποίο επιτρέπει στους επιτιθέμενους να παρακάμψουν την επιδιόρθωση.
Το πρώτο σφάλμα, CVE-2018-3952, επηρεάζει την υπηρεσία NordVPN, μια εταιρεία που εξυπηρετεί πάνω από ένα εκατομμύριο χρήστες παγκοσμίως. Το δεύτερο σφάλμα CVE-2018-4010, αφορά την υπηρεσία ProtonVPN, ένα σχετικά νέο VPN που ξεκίνησε σαν project crowdfunding.
_______________________________
Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ….
