Nord VPN: поставщик услуг персональной виртуальной частной сети
Уязвимость отказа в обслуживании была обнаружена в Nord VPN версии 6.14.31 30 апреля.thот августа 2018 года. Эта уязвимость была обнаружена ЛОРДОМ (борной нематзаде), который также предоставил доказательство концепции эксплойта. Согласно экспериментам LORD с ним, эксплойт существует в версии 6.14.31 Nord VPN и может использоваться в операционной системе Windows 10.
Согласно LORD, уязвимость эксплуатируется при запуске кода эксплойта Python. Необходимо открыть файл nord.txt, а содержимое текстового файла скопировать в буфер обмена устройства. Затем необходимо открыть и запустить приложение Nord VPN, введя произвольный адрес электронной почты в поле имени пользователя на странице входа и вставив содержимое текстового файла, скопированное из буфера обмена, в поле пароля. Нажатие клавиши Enter приводит к сбою приложения, требующему полного выхода из приложения, его обновления и повторного перезапуска.
Идентификационный ярлык CVE еще не был присвоен уязвимости, и от поставщика также не поступало новостей об этой проблеме. В настоящее время не существует методов смягчения или рекомендаций, чтобы избежать отказа из-за отказа в обслуживании в программном обеспечении Nord VPN, кроме как знать полный след представленного доказательства концепции и избегать шагов, необходимых для преднамеренного сбоя из-за отказа в обслуживании.
Учитывая подробности уязвимости, я считаю, что базовая оценка уязвимости составляет 4 приблизительно с точки зрения риска. Имеет локальный вектор атаки и низкую сложность атаки. Уязвимость также не требует каких-либо привилегий для выполнения или требует какого-либо взаимодействия с пользователем для продвижения вперед. Похоже, что это не повлияет на конфиденциальность или целостность. Единственный затронутый фактор - это доступность приложения из-за отказа из-за отказа в обслуживании. Этого эксплойта легко избежать, и он не представляет значительного риска для конфиденциальности или безопасности пользователя; это влияет только на удобство из-за своей способности заставлять приложение перестать отвечать.
Теги vpn
