Un défaut de routage a été identifié dans certaines versions de l’application Windows d’ExpressVPN. Corrigée depuis fin avril, la faille pouvait permettre à une partie du trafic réseau d’échapper au tunnel VPN. Un scénario rare, mais suffisamment sérieux pour justifier une mise à jour immédiate.
- ExpressVPN a corrigé une faille de routage sur Windows, affectant le port 3389, causant des fuites d'IP.
- La faille, découverte par un chercheur, affectait essentiellement les connexions RDP, peu courantes chez les particuliers.
- ExpressVPN a renforcé ses contrôles internes pour éviter que du code de débogage atteigne les versions publiques.
ExpressVPN a récemment publié un correctif de sécurité pour son application Windows, après le signalement d’un bug affectant le routage de certaines connexions. Le problème, identifié par un chercheur indépendant via le programme de bug bounty du fournisseur VPN, concernait le port 3389 – couramment utilisé par le protocole Remote Desktop (RDP), mais aussi par d’autres types de trafic TCP – et pouvait, dans certains cas, conduire à des fuites d’adresse IP.
Offre partenaire
Protection avancée des e-mails, des calendriers, des mots de passe, du réseau… de votre entreprise grâce à la suite d'applications professionnelles sécurisées.
Offre partenaire
Une fuite d’IP possible, mais dans des cas bien précis
En pratique, cette faille n’affectait que les utilisatrices et utilisateurs établissant une connexion RDP ou générant du trafic TCP sur le port 3389 – un scénario rare dans un cadre domestique, d’autant qu’ExpressVPN s’adresse principalement à un public de particuliers. Le port 3389 est en effet utilisé par le protocole Remote Desktop (RDP), qui permet d’accéder à distance à un autre ordinateur via une interface graphique. Très courant en entreprise, notamment pour administrer des postes ou des serveurs à distance, ce protocole reste peu utilisé par les particuliers. Il doit être activé manuellement sur Windows, est souvent bloqué par les box internet ou les pare-feu domestiques, et peut exposer à des risques de sécurité s’il est mal configuré.
Il faut bien comprendre ici que le bug ne compromettait ni le chiffrement des données ni la confidentialité des sessions RDP, mais qu’il pouvait, dans ces cas précis, empêcher le trafic RDP d’être acheminé via ExpressVPN comme prévu. Un tiers présent sur le réseau – un fournisseur d’accès à Internet ou une personne connectée au réseau local, par exemple – pouvait alors constater non seulement que l’utilisateur ou l’utilisatrice était connecté à ExpressVPN, mais aussi qu’il ou elle accédait à des serveurs distants spécifiques via RDP, des informations qui auraient normalement dû rester protégées.
- storage3000 serveurs
- language105 pays couverts
- lan10 connexions simultanées
- moodEssai gratuit 30 jours
- thumb_upAvantage : Gest. mots de passe
ExpressVPN propose un niveau de service de premier plan, avec une architecture basée sur la mémoire vive, son protocole maison Lightway et des protections DNS avancées réunies dans son module de protection avancée. Entre ses très bons débits, la stabilité de ses connexions, la qualité de ses applications et une couverture multiplateforme très large, le service reste l’une des valeurs sûres du marché pour celles et ceux qui cherchent un VPN premium, capable d’encaisser un usage intensif au quotidien, y compris en vidéo. La contrepartie tient surtout à des tarifs plus élevés que la moyenne, qui pourront inciter les profils les plus sensibles au budget à se tourner vers des concurrents moins onéreux.
- Performances très élevées et stables
- Protocole maison Lightway, rapide et bien intégré
- Couverture multiplateforme parmi les plus larges
- Applications simples, soignées et rapides à prendre en main
- Protection avancée et gestionnaire de mots de passe Keys intégrés aux offres les plus complètes
- Prix plus élevés que la moyenne du marché
- Moins de réglages avancés que certains concurrents, notamment sur macOS
Une erreur rapidement corrigée, des contrôles renforcés
Le bug a rapidement été attribué à un résidu de code de débogage utilisé en interne lors des phases de test. Resté actif par erreur dans certaines versions de production (de la 12.97 à la 12.101.0.2-beta), ce fragment était responsable du comportement anormal observé sur le port 3389, où certains flux pouvaient contourner le tunnel VPN au lieu d’y transiter comme prévu.
Le signalement a été transmis le 25 avril par un chercheur en sécurité, connu sous le pseudonyme Adam-X, via la plateforme de bug bounty d’ExpressVPN. L’équipe d’ingénierie a confirmé et pris en charge le rapport dans les heures qui ont suivi. Un correctif a ensuite été intégré à la version 12.101.0.45 de l’application Windows, déployée le 30 avril sur l’ensemble des canaux. Le chercheur a validé la résolution du problème fin juin.
Pour éviter que ce type de situation ne se reproduise, ExpressVPN indique avoir renforcé ses contrôles internes. Des vérifications automatisées supplémentaires ont été ajoutées afin de détecter plus tôt la présence de code réservé au débogage, avant qu’il ne puisse atteindre les versions destinées au grand public.
Source : ExpressVPN
