Gadgetshowto
Usar uma VPN é a necessidade da hora se você vive em um mundo onde todas as atividades online são rastreadas, monitoradas e o acesso é controlado por governos e empresas. Mas o que acontece quando a própria VPN está vazando os dados que deveria proteger?
Bem, essa é a questão que nos confronta hoje com a notícia de uma séria vulnerabilidade no HotSpot Shield VPN, que é usado por mais de 500 milhões de pessoas em todo o mundo.
A vulnerabilidade listada como CVE-2018-6460 no National Vulnerability Database nos EUA, permite que os hackers coletem informações sobre os sistemas do usuário nos quais o HotSpot Shield VPN está sendo executado. O bug também permite que os hackers descubram quando o usuário está se conectando à VPN e até mesmo revela a localização do usuário, o que anula completamente o propósito de usar uma VPN.
O bug foi encontrado pela primeira vez pelo pesquisador de segurança de aplicativos da web e testador de penetração Paulos Yibelo, que em uma postagem de blog detalhou as características da vulnerabilidade. Na postagem do blog, Paulos Yibelo escreveu que,
“Ao analisar este aplicativo, percebi que estava repleto de bugs que permitem a divulgação de informações confidenciais e fácil comprometimento.
Além disso, ele se aprofunda no aspecto técnico do bug:
“O Hotspot Shield quando ativado executa seu próprio servidor web para se comunicar com seu próprio cliente VPN. O servidor é executado em um host codificado permanentemente 127.0.0.1 e porta 895. Ele hospeda endpoints JSONP sensíveis que retornam vários valores interessantes e dados de configuração. “
Segundo Paulos, isso gera uma resposta JSON com detalhes do usuário, o serviço VPN utilizado, o endereço IP real e outras informações do sistema.
AnchorFree, que é a empresa-mãe do HotSpot Shield VPN, respondeu dizendo que a vulnerabilidade não revela nenhuma informação de IP. No entanto, em uma declaração dada à ZDNet por Tim Tsoriev, VP da AnchorFree, aceitou que a vulnerabilidade existe e pode expor algumas informações genéricas.
Ainda não está claro o quão profundamente esta vulnerabilidade afeta os usuários atuais do HotSpot Shield VPN, que até que a empresa libere uma correção, seria melhor se os usuários parassem de usar a VPN para fins de segurança.
