SaferVPN heeft in stilte een denial-of-service kwetsbaarheid in de vpn-software gerepareerd. Het bedrijf lijkt daarbij de ongeschreven regels van ‘responsible disclosure’ aan haar laars te hebben gelapt.

Begin september ontdekte een beveiligingsonderzoeker die alleen bekend staat onder de naam ‘mmht3t’ een kwetsbaarheid in SaferVPN. Het ging om CVE 2020-25744 waardoor buitenstaanders meer rechten kunnen krijgen en een DoS-aanval kunnen veroorzaken. Volgens mmht3t hebben SaferVPN-gebruikers in versies vòòr 5.0.3.3 van het programma volledige rechten over de log-map van de software en kunnen ze naar hartenlust bestanden in die map verwijderen. Ook kunnen ze symbolische links aanmaken die verwijzen naar bestanden met veel gebruikersrechten. Als een gebruiker dat doet, wordt de inhoud van het log-bestand overschreven met het bestand dat ruimere gebruikersrechten heeft, schrijft Techradar

Nadat de beveiligingsonderzoeker dit had ontdekt, meldde hij zijn bevindingen aan SaferVPN. Het bedrijf lijkt de bug nu verholpen te hebben in versie 5.0.3.3 van de vpn-client, maar zonder daarvoor in het openbaar te verwijzen naar de ontdekking van mmht3t. Daarop besloot mmht3t SaferVPN om een reactie te vragen. SaferVPN reageerde daar niet op, maar heeft in stilte een nieuwe versie uitgebracht van de vpn-client. Mmht3t heeft daarom met zijn ontdekking de publiciteit gezocht zodat de kwetsbaarheid opgenomen zou worden in de CVE-lijst.