Bug in NordVPN e ProtonVPN espongono al rischio malware

Set 10, 2018 Marco Schiaffino News, RSS, Vulnerabilità 0

La patch utilizzata per correggere una vulnerabilità del protocollo OpenVPN lascia spazio all’esecuzione di codice in remoto su macchine Windows.

Rischiare di avere un problema di sicurezza a causa di un software pensato per rendere più sicura la navigazione è un bel paradosso. Nel caso di NordVPN e ProtonVPN, però, è esattamente ciò che succede.

Come spiega Paul Rascagneres di Cisco Talos in un report pubblicato sul blog del team di sicurezza, il problema si è presentato la prima volta lo scorso aprile, con la scoperta di una vulnerabilità (CVE-2018-10169) che interessava gli stessi prodotti. Entrambi, infatti, sono basati su OpenVPN.

Il bug, nel dettaglio, riguardava la possibilità di modificare il file di configurazione della VPN e arrivare, in buona sostanza, all’esecuzione di codice con privilegi di amministratore.

Sulla scia della segnalazione del bug, entrambi gli sviluppatori hanno corretto il codice del loro software per eliminare il problema. Purtroppo, però, le modifiche apportate lasciavano uno spiraglio che avrebbe permesso di raggiungere lo stesso risultato apportando lievi modifiche alla tecnica di attacco.

Ora sia NordVPN che ProtonVPN hanno pubblicato un ulteriore aggiornamento che dovrebbe fare piazza pulita una volta per sempre della vulnerabilità.

Le versioni sicure sono la 1.5.1 per ProtonVPN Client e la 6.14.28.0 per NordVPN. Il consiglio, scontato, è quello di aggiornare quanto prima i software per mitigare il rischio di un attacco.

Aggiornamento 10/9/2018.

Pochi minuti dopo la pubblicazione di questo articolo abbiamo ricevuto un comunicato da parte di ProtonVPN che riportiamo integralmente:

“Le più recenti versioni di ProtonVPN hanno risolto questo problema e un aggiornamento è stato distribuito a tutti gli utenti. È importante notare che un attaccante, per sfruttare questo exploit, deve avere già accesso al computer e che la vulnerabilità interessa solo gli utenti Windows. Il fix che abbiamo implementato elimina tutti i bug di questa natura e continueremo a lavorare con ricercatori di sicurezza indipendenti di tutto il mondo per rendere ProtonVPN più sicura grazie al nostro programma bug bounty“.

Aggiornamento 12/9/2018

Anche NordVPN ci ha contattati chiedendo di pubblicare un suo commento sulla notizia che riportiamo integralmente:

“La vulneraiblità è stata corretta prima che Cisco procedesse alla pubblicazione della vulnerabilità. All’inizio di agosto abbiamo distribuito un aggiornamento automatico a tutti i nostri clienti, il che significa che la maggior parte di loro aveva a disposizione un’applicazione aggiornata ben prima della pubblicazione. Queste azioni hanno eliminato il rischio che la vulnerabilità venisse sfruttata.

Riteniamo utile anche ricordare che per sfruttare la falla, un eventuale attaccante avrebbe dovuto avere accesso fisico al PC. Una situazione del genere è sufficiente di per sé stessa per provocare un rischio per qualsiasi tipo di applicazione. Stiamo in ogni caso eseguendo una procedura di audit in termini di sicurezza affidata a un soggetto indipendente“.

Condividi l'articolo