Una vulnerabilità critica zero-day espone gli utenti del client Linux Atlas VPN

È stata scoperta un'allarmante falla di sicurezza nel client Linux di Atlas VPN, un popolare servizio VPN. È stata identificata una vulnerabilità zero-day che consente a un utente malintenzionato di esporre facilmente il reale indirizzo IP di un utente semplicemente visitando un sito web. Il difetto risiede in un endpoint API privo di autenticazione, che consente a chiunque di inviare comandi all'interfaccia della riga di comando (CLI) del client VPN. Ciò rappresenta una grave violazione della privacy per gli utenti della VPN Atlas, minando lo scopo stesso dell’utilizzo di una VPN.

L'exploit Proof-of-Concept rivela un problema critico

Un exploit proof-of-concept (PoC) condiviso su Reddit evidenzia la gravità della vulnerabilità che colpisce il client Linux di Atlas VPN versione 1.0.3. L'exploit ruota attorno a un endpoint API che ascolta su localhost tramite una porta specifica. Questo endpoint non dispone di autenticazione, consentendo potenzialmente a qualsiasi sito Web di inviare comandi alla CLI del client VPN. Creando un modulo nascosto che invia automaticamente il codice JavaScript, l'exploit può terminare le sessioni VPN attive e rivelare l'effettivo indirizzo IP di un utente. Questa vulnerabilità compromette in modo significativo la privacy degli utenti e li espone al tracciamento.

Conferma da un ingegnere di sicurezza Amazon

L'efficacia dell'exploit è stata confermata dall'ingegnere della sicurezza informatica Chris Partridge di Amazon. La sua indagine ha rivelato che l'exploit aggira le protezioni esistenti del browser, poiché le richieste vengono avviate come invio di moduli. Ciò consente ai siti Web di accedere all'endpoint API VPN Atlas senza attivare le misure di sicurezza standard. L’exploit garantisce l’accesso all’URL responsabile della disconnessione della connessione VPN in Linux, annullando di fatto uno degli scopi principali di una VPN, ovvero proteggere l’identità e la posizione dell’utente.

Risposta di Atlas VPN e consigli degli utenti

Atlas VPN è stata avvisata della vulnerabilità quattro giorni dopo la sua divulgazione. Nonostante i ritardi iniziali nella risposta, l'azienda da allora ha preso sul serio la questione, scusandosi e impegnandosi a rilasciare tempestivamente una correzione per il suo client Linux. Gli utenti verranno avvisati non appena l'aggiornamento sarà disponibile. Nel frattempo, si consiglia vivamente agli utenti client Linux di prendere precauzioni immediate, inclusa la considerazione di soluzioni VPN alternative. In un panorama digitale sempre più interconnesso, dare priorità alla privacy e alla sicurezza rimane fondamentale.