В популярных VPN-клиентах, построенных на платформах Xray и sing-box, обнаружена серьезная уязвимость, ставящая под угрозу приватность пользователей. Речь идет о таких приложениях, как v2rayNG, Hiddify, NekoBox, Happ и других. Проблема заключается в том, что эти программы поднимают локальный прокси-сервер без должной защиты, что позволяет любому другому приложению на устройстве получить доступ к реальному IP-адресу VPN-сервера.
Эта брешь в безопасности полностью нивелирует принцип анонимности, ради которого многие и используют VPN. Стороннее программное обеспечение, включая банковские приложения или мессенджеры, может перехватить этот IP-адрес и передать его третьим лицам. В худшем случае это может привести к блокировке сервера или отслеживанию активности пользователя.
Наиболее критичная ситуация сложилась с приложением Happ. В его случае злоумышленник может не только узнать IP-адрес сервера, но и получить полную конфигурацию подключения, включая ключи доступа. Это открывает путь к полному контролю над VPN-соединением.
На данный момент реакция разработчиков разделилась. Часть команд пообещала выпустить исправления в ближайшее время, чтобы устранить уязвимость. Однако другая часть проигнорировала предупреждения исследователей безопасности, оставляя своих пользователей под угрозой.
Пока не вышли официальные обновления, пользователям уязвимых приложений рекомендуется проявлять повышенную осторожность. Следует ограничить установку непроверенного ПО на устройства, где используется VPN, и рассмотреть возможность временного перехода на альтернативные, проверенные клиенты, пока проблема не будет решена. Безопасность в интернете требует постоянного внимания к подобным инцидентам.