BDU:2024-02309

Опубликовано: 11 фев. 2024

Источник: fstec

CVSS3: 3.7

CVSS2: 2.6

EPSS Низкий

Описание

Уязвимость функции раздельного туннелирования сервиса по поставке услуг виртуальной частной сети ExpressVPN связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получать конфиденциальную информацию о веб-сайтах, которые посещают пользователи VPN

Вендор

Kape Technologies

Наименование ПО

ExpressVPN

Версия ПО

от 12.23.1 до 12.72.0 включительно (ExpressVPN)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,6)

Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,7)

Возможные меры по устранению уязвимости

Обновление программного обеспечения ExpressVPN до 12.73.0 или новее

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-25728
CVE

EPSS

Процентиль: 41%

0.00196

Низкий

3.7 Low

CVSS3

2.6 Low

CVSS2

Связанные уязвимости

CVE-2024-25728

CVSS3: 7.5

nvd

почти 2 года назад

ExpressVPN before 12.73.0 on Windows, when split tunneling is used, sends DNS requests according to the Windows configuration (e.g., sends them to DNS servers operated by the user's ISP instead of to the ExpressVPN DNS servers), which may allow remote attackers to obtain sensitive information about websites visited by VPN users.

GHSA-vpg2-32g8-56wf