ExpressVPN, RDP oturumlarında IP adreslerini sızdıran hatayı düzeltti: Kullanıcılar yeni sürüme geçmeli
Dünyanın en popüler VPN hizmetlerinden biri olan ExpressVPN, Windows istemcisinde tespit edilen bir hata nedeniyle Uzak Masaüstü Protokolü (RDP) trafiğinin VPN tünelini atlayarak kullanıcıların gerçek IP adreslerini sızdırabildiğini doğruladı. Şirket, güvenlik açığını gideren güncellemeyi Haziran ayında yayımladı.
ExpressVPN, Windows uygulamasında tespit edilen ve kullanıcıların gerçek IP adreslerinin RDP bağlantıları sırasında sızmasına neden olan bir güvenlik açığını kapattığını duyurdu. VPN servisinin temel işlevlerinden biri olan IP adresini gizleme özelliğini devre dışı bırakan bu hata, özellikle uzak masaüstü bağlantısı kuran kullanıcıları etkiledi.
Açık, 25 Nisan 2025 tarihinde "Adam-X" takma adlı bir güvenlik araştırmacısı tarafından ExpressVPN’in ödül programı kapsamında rapor edildi. Şirketin açıklamasına göre sorun, dahili testler için kullanılan debug kodlarının yanlışlıkla üretim (production) sürümlerine dâhil edilmesinden kaynaklandı.
Hangi sürümler etkilendi
-
Hata, sürüm 12.97 ile 12.101.0.2-beta arasındaki yapıları etkiledi.
-
Düzeltme, 12.101.0.45 numaralı sürümle 18 Haziran 2025 tarihinde yayımlandı.
Şirketin açıklaması şu şekilde:
“Bir kullanıcı RDP bağlantısı kurduğunda, bu trafik VPN tünelini atlayarak doğrudan yönlendirilmiş olabilir. Bu durum şifrelemeyi etkilememiş olsa da, bağlantının VPN üzerinden değil doğrudan gerçekleştiği gözlemlenebilir hâle gelmişti.”
Bu hata, özellikle aynı yerel ağda bulunanlar veya internet servis sağlayıcıları tarafından RDP sunucusuna yapılan bağlantının fark edilmesine neden olabiliyordu. Normalde bu tür bilgiler VPN tüneli içinde gizli kalmalıydı.
Etki sınırlı ancak dikkat edilmeli
ExpressVPN, hatanın yalnızca RDP (port 3389) kullanan kullanıcıları etkilediğini ve bu protokolün genellikle bireysel kullanıcılar yerine kurumsal ya da teknik personel tarafından tercih edildiğini belirtti. Bu nedenle, genel kullanıcı kitlesi açısından riskin düşük olduğu savunuluyor.
Yine de şirket, tüm Windows kullanıcılarına 12.101.0.45 sürümüne geçmelerini ve güncellemeleri geciktirmemelerini öneriyor.
Yeni önlemler alınacak
ExpressVPN, benzer sorunların tekrar yaşanmaması için üretim sürecindeki otomasyon kontrollerini ve geliştirme test süreçlerini güçlendireceğini bildirdi.
Şirket, geçen yıl da Windows istemcisindeki split tunneling özelliğinde DNS sızıntısına yol açan başka bir sorun nedeniyle geçici olarak bu özelliği devre dışı bırakmıştı.
Kaynak: CUMHA - CUMHUR HABER AJANSI
