Брешь в Linux-версии Atlas VPN раскрывает ваш реальный IP-адрес

Брешь в Linux-версии Atlas VPN раскрывает ваш реальный IP-адрес

Брешь в Linux-версии Atlas VPN раскрывает ваш реальный IP-адрес

Уязвимость нулевого дня в Atlas VPN, затрагивающая Linux-версию, раскрывает настоящий IP-адрес пользователя. Для эксплуатации достаточно заманить жертву на специальный веб-сайт.

Один из исследователей поделился демонстрационным эксплойтом (proof-of-concept, PoC) на площадке Reddit. Специалист отметил, что актуальная на данный момент версия (1.0.3) содержит API, слушающий localhost (127.0.0.1) на порте 8076.

Этот API предоставляет интерфейс командной строки (CLI) для выполнения ряда команд, таких как разрыв VPN-сессии через ссылку http://127.0.0.1:8076/connection/stop.

Однако API при этом вообще не задействует аутентификацию, поэтому любой может отправить CLI команды (включая посещаемый сайт).

Участник Reddit под ником «Educational-Map-8145» опубликовал PoC, который как раз использует эту ошибку для раскрытия реального IP-адреса пользователя Linux-версии Atlas VPN.

Эксплойт создаёт скрытую форму, отправляемую автоматически посредством JavaScript. Она соединяется с URL http://127.0.0.1:8076/connection/stop, который, напомним, предназначен для завершения сессии.

Другими словами, условный злоумышленник может оборвать подключение через VPN и раскрыть IP-адрес жертвы. Для логирования этого адреса PoC подключается к api.ipify.org. Видеоролик, демонстрирующий работу эксплойта, выложил Крис Патридж из Amazon:

 

К сожалению, разработчики пока не успели подготовить патч.

Договор с клиникой разрешат заключать через сайт, приложение или МАКС

С 1 сентября 2026 года платные клиники будут обязаны включать в договор предупреждение о последствиях несоблюдения рекомендаций врача. Пациенту заранее сообщат, что нарушение режима лечения может ухудшить результат, сорвать сроки оказания услуги или навредить здоровью.

Новое правило будет действовать до сентября 2031 года. Для клиник это дополнительная страховка в спорах с пациентами: если человек забросил назначенное лечение, а потом остался недоволен результатом, предупреждение уже будет стоять в договоре.

При этом подробную информацию о методах лечения, рисках, вмешательствах и ожидаемых результатах медицинская организация сможет предоставлять только по запросу пациента. Так что любителям читать условия всё же придётся задавать вопросы самостоятельно.

Договор разрешат заключать дистанционно — на сайте, в приложении или через мессенджер МАКС. Жёсткое требование об использовании усиленной квалифицированной электронной подписи отменяется. Согласием с условиями может считаться даже частичная или полная оплата услуги.

Также клиникам разрешат выдавать для налогового вычета выписку из медицинской документации вместо рецептурного бланка. Сведения о лечении и оказанных услугах при предусмотренных законом условиях будут передаваться в ЕГИСЗ.

RSS: Новости на портале Anti-Malware.ru