CVE-2025-59692

NiskieCVSS 3.7

Opublikowano: 18/09/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Aplikacje klienckie PureVPN na Linux do września 2025 nieprawidłowo obsługują zaporę sieciową: podczas łączenia z serwerem VPN opróżniają istniejące reguły iptables i ustawiają domyślne polityki ACCEPT. Usuwa to reguły zapory skonfigurowane ręcznie lub przez inne oprogramowanie (np. UFW, silniki kontenerów, polityki bezpieczeństwa systemu). Po rozłączeniu VPN pierwotny stan zapory nie jest przywracany, co może narazić system na ruch sieciowy, który wcześniej był blokowany. Dotyczy CLI 2.0.1 i GUI 2.10.0.

Ocena ryzyka

System może zostać nieoczekiwanie wystawiony na ruch sieciowy, który wcześniej był blokowany przez zaporę. Może to prowadzić do nieautoryzowanego dostępu lub naruszenia polityk bezpieczeństwa.

Rekomendacja

Zaktualizuj klienta PureVPN do wersji nowszej niż CLI 2.0.1 / GUI 2.10.0, jeśli są dostępne. Po rozłączeniu VPN zweryfikuj i przywróć reguły zapory.

Inne podatności w PureVPN

CVE-2025-59691Niskie
Aplikacje klienckie PureVPN na Linux do września 2025 pozwalają na wyciek ruchu IPv6 poza tunel VPN przy zdarzeniach sieciowych, takich jak ponowne połączenie Wi-Fi lub wznowienie systemu. W kliencie CLI VPN automatycznie się łączy i twierdzi, że jest połączony, ale ruch IPv6 nie jest już routowany ani blokowany; w kliencie GUI połączenie IPv6 pozostaje aktywne do momentu kliknięcia Połącz ponownie. Prawdziwy adres IPv6 jest ujawniany zewnętrznym usługom, co narusza prywatność i obchodzi reklamowaną ochronę przed wyciekiem IPv6. Dotyczy CLI 2.0.1 i GUI 2.10.0.

Oryginalny opis (angielski, źródło NVD)

PureVPN client applications on Linux through September 2025 mishandle firewalling. They flush the system's existing iptables rules and apply default ACCEPT policies when connecting to a VPN server. This removes firewall rules that may have been configured manually or by other software (e.g., UFW, container engines, or system security policies). Upon VPN disconnect, the original firewall state is not restored. As a result, the system may become unintentionally exposed to network traffic that was previously blocked. This affects CLI 2.0.1 and GUI 2.10.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS