Баг в Kaspersky VPN приводит к утечке реального DNS-адреса

Баг в Kaspersky VPN приводит к утечке реального DNS-адреса

Баг в Kaspersky VPN приводит к утечке реального DNS-адреса

Проблема безопасности была обнаружена в Kaspersky VPN версии 1.4.0.216. Тестирование на Android 8.1.0 выявило утечку DNS-адреса после подключения к любому виртуальному серверу. Под «утечкой DNS» эксперты в этом случае подразумевают незашифрованный DNS-запрос, отправленный системой пользователя.

Согласно статистике официального магазина Google Play Store, Kaspersky VPN загрузили более миллиона пользователей. Этому приложению доверяют многие пользователи.

Однако исследователи обнаружили, что при подключении к любому случайному виртуальному серверу происходит утечка фактического DNS-адреса.

Эксперт Дхираж Мишра, обнаруживший этот недостаток, уже сообщил о нем антивирусной компании через Hackerone. Специалист также опубликовал алгоритм, который поможет воспроизвести проблему:

  1. Посетите IPleak (обратите внимание на свой фактический DNS-адрес).
  2. Теперь подключитесь к любому случайному виртуальному серверу с помощью Kaspersky VPN.
  3. После успешного подключения можно вернуть на IPleak и увидеть, что адрес не поменялся.

Мишра считает, что подобная проблема может угрожать конфиденциальности пользователей, основная цель которых — оставаться анонимными в Сети.

Эксперт оповести представителей «Лаборатории Касперского» еще 21 апреля. Компания устранила уязвимость с выпуском версии 1.4.0.486.

«Лаборатория Касперского» дала официальные комментарии, а также объяснила, почему эксперту не было выплачено вознаграждение за найденный баг:

«”Лаборатория Касперского” благодарит исследователя Дхирая Мишра (Dhiraj Mishra) за обнаружение уязвимости в приложении Kaspersky Secure Connection для Android, в рамках которой на стороне DNS-сервиса возникала возможность анализа перечня ресурсов, к которым обращался пользователь с использованием VPN».

«Безопасность клиентов – ключевой приоритет для нашей компании, и мы всегда очень серьёзно относимся к независимым исследованиям. Эта уязвимость была закрыта в июне, ее нет в актуальной версии решения».

«Нашей программой Bug Bounty на данный момент не предусмотрены выплаты за баги и уязвимости в Kaspersky Secure Connection, поэтому мы не смогли выплатить денежную награду Дхираю. Мы очень высоко ценим его труд и еще раз благодарим талантливого исследователя. В будущем наша программа Bug Bounty может быть расширена».

«На данный момент компания выплачивает награду за обнаружение багов в двух ключевых продуктах: Kaspersky Internet Security и Kaspersky Security для бизнеса. «Лаборатория Касперского» готова платить до 20 тысяч долларов тем, кто найдёт бреши в этих решениях, и до 100 тысяч за особо серьёзные уязвимости. ”Лаборатория Касперского” призывает всех заинтересованных исследовать эти продукты и помогать нам делать их ещё более надежными и безопасными».

«С самого начала программы Bug Bounty, запущенной в августе 2016 года совместно с HackerOne, удалось успешно исправить 106 багов и уязвимостей. «Лаборатория Касперского» выплатила по ней исследователям 11 700 долларов».

Подпишитесь на новости

GPT-6 Astra расшифровала послание времён Наполеона спустя 217 лет

Шифр пережил империи, войны и поколения исследователей, а теперь за него взялся ИИ. Инженер Картер Черч рассказал в своём блоге, как с помощью GPT-6 Astra восстановил содержание письма генералу Огюсту де Мармону. По его словам, потребовалось около шести часов работы модели и несколько вечеров собственного времени.

Послание отправили в марте 1809 года по распоряжению Наполеона через его пасынка Эжена де Богарне. Мармон командовал войсками в Далмации, и ему нужно было знать расположение французских и союзных армий перед войной с Австрией.

Ключ не сохранился. На скане — около 1300 зашифрованных единиц и 155 разных знаков. Причём одна буква могла обозначаться несколькими символами: обычный подсчёт частот здесь буксует.


ИИ прочитал изображение и использовал 33 ранее установленных значения. Остальные подбирались методом имитации отжига: варианты оценивали по статистике французских текстов. Затем расшифровку проверяли по исходному скану.

Внутри оказалась военная сводка с уверенным прогнозом: Австрии предстоит атака с нескольких направлений, и она движется к поражению.


Черч опубликовал восстановленный ключ и скрипты для проверки результата. Пять знаков остаются неоднозначными, но, по его оценке, общий смысл от этого не меняется. Автор также сообщает, что историк криптографии Сатоси Томокиё проверил решение, после чего письмо внесли в список расшифрованных.

RSS: Новости на портале Anti-Malware.ru