Nord VPN v6.14.31 kannatab Local Vector DoS haavatavuse all

Nord VPN: isiklik virtuaalse privaatvõrgu teenuse pakkuja

30-ndal päeval leiti Nord VPN-i versioonist 6.14.31 teenuse keelamise haavatavus^thaugustil 2018. Selle haavatavuse avastas LORD (borna nematzadeh), kes tõestas ka ekspluateerimise ideed. LORDi sellega katsetatud andmetel on ekspluateerimine Nord VPN-i versioonis 6.14.31 ja see on kasutatav operatsioonisüsteemis Windows 10.

LORDi sõnul kasutatakse haavatavust ära siis, kui käivitatakse pythoni ärakood. Nord.txt-fail tuleb avada ja tekstifaili sisu kopeerida seadme lõikelauale. Järgmisena tuleb avada ja käivitada Nord VPN-i rakendus, sisestades suvalise e-posti aadressi sisselogimislehe kasutajanime väljale ja kleepides lõikelauale kopeeritud tekstifaili sisu parooliväljale. Sisestusklahvi vajutamine põhjustab rakenduse krahhi, mis nõuab rakenduse täielikku sulgemist, värskendamist ja uuesti taaskäivitamist.

CVE identifitseerimismärgist pole haavatavusele veel määratud ja ka pakkujalt pole selle probleemiga seotud uudiseid ilmunud. Praegu pole teenuse eitamise krahhi vältimiseks Nord VPN-i tarkvaras leevendamismeetodeid ega nõuandeid, välja arvatud see, kui olete teadlik esitatud idee täielikust tõest ja vältige vajalikke samme, et tahtlikult põhjustada teenuse keelamise krahhi.

Arvestades haavatavuse üksikasju, usun, et haavatavus on ligikaudu riski baasskooril 4. Sellel on lokaalne ründevektor ja madal rünnakute keerukus. Haavatavus ei vaja ka täitmiseks mingeid õigusi ega vaja edasiliikumiseks kasutajate sekkumist. Tundub, et see ei mõjuta konfidentsiaalsust ega usaldusväärsust. Ainus mõjutatud tegur on rakenduse kättesaadavus teenuse keelamise krahhi tõttu. Seda ärakasutamist on kergesti välditav ja see ei kujuta endast olulist ohtu kasutaja privaatsusele ega turvalisusele; see mõjutab ainult mugavust, kuna see võimaldab rakendusel reageerida.