Ερευνητές ασφαλείας εντόπισαν σοβαρές ευπάθειες στην υπηρεσία Mullvad VPN, οι οποίες θα μπορούσαν να επιτρέψουν σε hackers να εκτελέσουν κακόβουλο κώδικα και να θέσουν σε κίνδυνο την ιδιωτικότητα των χρηστών.
Οι ευπάθειες ανακαλύφθηκαν κατά τη διάρκεια λεπτομερούς ελέγχου ασφαλείας από την εταιρεία X41 D-Sec GmbH στα τέλη του 2024.
Δείτε επίσης: Τα καλύτερα VPN apps για το 2024
Μεταξύ των πιο κρίσιμων ζητημάτων ήταν προβλήματα χρονισμού (race conditions) και παραβιάσεις ασφάλειας μνήμης στον κώδικα χειρισμού σημάτων του Mullvad. Αυτές οι αδυναμίες θα μπορούσαν να οδηγήσουν σε διαφθορά μνήμης και εκτέλεση κακόβουλου κώδικα. Αν και η εκμετάλλευση αυτών των ζητημάτων είναι τεχνικά δύσκολη, υπάρχει πιθανότητα επιτυχίας αν ένας επιτιθέμενος συγχρονίσει σωστά τα σήματα.
Επιπλέον, εντοπίστηκε σοβαρή ευπάθεια που επιτρέπει την «παράκαμψη DLL» κατά την εγκατάσταση του Mullvad VPN στα Windows, δίνοντας τη δυνατότητα εκτέλεσης κακόβουλου κώδικα. Άλλες ευπάθειες περιλαμβάνουν την πιθανότητα αποκάλυψης της εικονικής διεύθυνσης IP ενός χρήστη ή τον εντοπισμό εάν ένας πελάτης Mullvad έχει συνδεθεί σε συγκεκριμένη ιστοσελίδα, μέσω επιθέσεων σε επίπεδο δικτύου.
Διαβάστε ακόμη: Πώς να χρησιμοποιήσετε ένα VPN σε Android συσκευή;
Η Mullvad, γνωστή για τη δέσμευσή της στην ασφάλεια, έχει ήδη διορθώσει τις περισσότερες από τις ευπάθειες που ανακαλύφθηκαν, συνεργαζόμενη στενά με την X41. Σε επίσημη δήλωσή της, η εταιρεία ανέφερε πως «λαμβάνει πολύ σοβαρά υπόψη τα ευρήματα» και εξέφρασε την ευγνωμοσύνη της προς την X41 για τον ενδελεχή έλεγχο.
Παρά τις ανησυχίες που προέκυψαν, οι ερευνητές εξήραν τη συνολική ασφάλεια της εφαρμογής Mullvad VPN, υπογραμμίζοντας ότι προσφέρει υψηλό επίπεδο προστασίας έναντι επιθέσεων. Οι χρήστες καλούνται να ενημερώσουν την εφαρμογή τους στην τελευταία έκδοση για μέγιστη ασφάλεια. Το περιστατικό αυτό αναδεικνύει τη σημασία των τακτικών ελέγχων ασφαλείας σε υπηρεσίες VPN, ειδικά στις μέρες μας που η κυβερνοασφάλεια αποτελεί προτεραιότητα.
Δείτε περισσότερα: Οι hackers Salt Typhoon στοχεύουν τηλεπικοινωνίες με το GhostSpider backdoor
Πηγή: cybersecuritynews
