Lỗ hổng trên ExpressVPN làm rò rỉ địa chỉ IP của người dùng trong các phiên Remote Desktop

ExpressVPN đã khắc phục lỗ hổng trên Windows khiến lưu lượng giao thức Remote Desktop Protocol (RDP) bypass qua đường hầm mạng riêng ảo (VPN), từ đó làm lộ địa chỉ IP thực của người dùng.

Một trong những tính năng quan trọng của VPN là che giấu địa chỉ IP của người dùng và cho phép ẩn danh trực tuyến. Nếu không thực hiện được điều này là một lỗi kỹ thuật nghiêm trọng đối với một sản phẩm VPN.

ExpressVPN là nhà cung cấp dịch vụ VPN hàng đầu, luôn được đánh giá là một trong những dịch vụ VPN phổ biến và được hàng triệu người dùng trên toàn thế giới tin dùng. ExpressVPN sử dụng máy chủ RAM-only, không lưu trữ dữ liệu người dùng và tuân thủ chính sách không lưu log đã được kiểm toán.

Vào ngày 25/4/2025, một nhà nghiên cứu bảo mật có tên “Adam-X” đã báo cáo về lỗ hổng bảo mật thông qua chương trình bug bounty của ExpressVPN, lỗ hổng này đã làm rò rỉ RDP và lưu lượng TCP được truyền qua cổng 3389.

Sau khi điều tra, ExpressVPN phát hiện ra rằng sự cố này là do phần còn lại của debug code trong quá trình thử nghiệm nội bộ, vô tình được đưa vào bản dựng dựng, cụ thể là từ 12.97 (phát hành bốn tháng trước) đến 12.101.0.2-beta. Hiện tại, bản vá mới nhất đã được phát hành với phiên bản 12.101.0.45.

ExpressVPN thông báo: “Nếu người dùng thiết lập kết nối bằng RDP, lưu lượng truy cập đó có thể bypass qua đường hầm VPN. Điều này không ảnh hưởng đến mã hóa, nhưng có nghĩa là lưu lượng từ các kết nối RDP không được định tuyến qua ExpressVPN như mong đợi”.

Nhà cung cấp cho biết, kết quả là ISP hoặc người dùng nào đó trên cùng mạng, có thể phát hiện không chỉ người dùng được kết nối với ExpressVPN mà còn phát hiện họ đang truy cập vào các máy chủ từ xa cụ thể qua RDP - thông tin thường được bảo vệ.

ExpressVPN lưu ý, lỗ hổng bảo mật chỉ ảnh hưởng đến những người sử dụng RDP. Ngoài ra, do cơ sở dữ liệu chủ yếu là người dùng cá nhân chứ không phải khách hàng doanh nghiệp nên số lượng bị ảnh hưởng có thể không lớn.

Để tránh nguy cơ bị rò rỉ dữ liệu, người dùng được khuyến nghị nâng cấp lên phiên bản 12.101.0.45. ExpressVPN tuyên bố rằng họ sẽ tăng cường kiểm tra bản dựng nội bộ để ngăn chặn các lỗ hổng tương tự xuất hiện trong quá trình sản xuất trong tương lai, bao gồm cả việc tăng cường tự động hóa trong quá trình thử nghiệm phát triển.

Năm ngoái, ExpressVPN đã gặp phải sự cố khác gây rò rỉ DNS request khi người dùng bật tính năng “split tunneling” trên máy trạm Windows. Tính năng này đã bị vô hiệu hóa tạm thời cho đến khi bản vá lỗi được triển khai trong bản phát hành tiếp theo.