CVE-2025-59691

NiskieCVSS 3.7

Opublikowano: 18/09/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Aplikacje klienckie PureVPN na Linux do września 2025 pozwalają na wyciek ruchu IPv6 poza tunel VPN przy zdarzeniach sieciowych, takich jak ponowne połączenie Wi-Fi lub wznowienie systemu. W kliencie CLI VPN automatycznie się łączy i twierdzi, że jest połączony, ale ruch IPv6 nie jest już routowany ani blokowany; w kliencie GUI połączenie IPv6 pozostaje aktywne do momentu kliknięcia Połącz ponownie. Prawdziwy adres IPv6 jest ujawniany zewnętrznym usługom, co narusza prywatność i obchodzi reklamowaną ochronę przed wyciekiem IPv6. Dotyczy CLI 2.0.1 i GUI 2.10.0.

Ocena ryzyka

Użytkownicy mogą sądzić, że są chronieni przez VPN, podczas gdy ich rzeczywisty adres IPv6 i ruch są ujawniane. Narusza to prywatność i może prowadzić do ujawnienia tożsamości lub lokalizacji.

Rekomendacja

Zaktualizuj klienta PureVPN do wersji nowszej niż CLI 2.0.1 / GUI 2.10.0, jeśli są dostępne. Do czasu aktualizacji rozważ wyłączenie IPv6 lub stosowanie dodatkowych mechanizmów blokujących wycieki.

Inne podatności w PureVPN

CVE-2025-59692Niskie
Aplikacje klienckie PureVPN na Linux do września 2025 nieprawidłowo obsługują zaporę sieciową: podczas łączenia z serwerem VPN opróżniają istniejące reguły iptables i ustawiają domyślne polityki ACCEPT. Usuwa to reguły zapory skonfigurowane ręcznie lub przez inne oprogramowanie (np. UFW, silniki kontenerów, polityki bezpieczeństwa systemu). Po rozłączeniu VPN pierwotny stan zapory nie jest przywracany, co może narazić system na ruch sieciowy, który wcześniej był blokowany. Dotyczy CLI 2.0.1 i GUI 2.10.0.

Oryginalny opis (angielski, źródło NVD)

PureVPN client applications on Linux through September 2025 allow IPv6 traffic to leak outside the VPN tunnel upon network events such as Wi-Fi reconnect or system resume. In the CLI client, the VPN auto-reconnects and claims to be connected, but IPv6 traffic is no longer routed or blocked. In the GUI client, the IPv6 connection remains functional after disconnection until the user clicks Reconnect. In both cases, the real IPv6 address is exposed to external services, violating user privacy and defeating the advertised IPv6 leak protection. This affects CLI 2.0.1 and GUI 2.10.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS