Se descubrió una vulnerabilidad en ExpressVPN, un proveedor de servicios de VPN reconocido. La vulnerabilidad afectó la función de «división de túnel» en versiones de Windows desde mayo de 2022 hasta febrero de 2024.
Vulnerabilidad y su impacto
El error permitía que algunas solicitudes DNS fueran dirigidas a servidores DNS externos, generalmente los configurados por el ISP del usuario. El problema fue descubierto por Attila Tomaschek, un experto en VPN.
La vulnerabilidad podría exponer información a los proveedores de servicios de Internet (ISP). ExpressVPN comunicó que cuando un usuario está conectado, se supone que sus solicitudes DNS deben enviarse a un servidor de ExpressVPN, pero el error permitía que algunas fueran enrutadas a servidores de terceros.
Impacto y estimación del afectado
La compañía estima que menos del 1% de los usuarios en la plataforma de Windows se ven afectados. Se recomienda instalar la última versión de ExpressVPN para Windows, asegurándose de tener la versión 12.73.0 instalada.
Opciones de mitigación
Otra opción es deshabilitar la función de túnel dividido, lo que haría que toda la conexión pasara a ser cifrada. Se aconseja, en última instancia, la instalación de la versión 10, aunque no sea la solución más óptima.
Recomendaciones para usuarios
Se recomienda utilizar herramientas como «DNS Leak Test» para verificar la configuración de DNS. Las mitigaciones incluyen instalar la última versión de ExpressVPN para Windows, deshabilitar la función de túnel dividido y asegurarse de que toda la conexión sea cifrada.