近日，有研究人员发现HotSpot Shield、PureVPN和Zenmate三款流行VPN存在着安全漏洞，这些漏洞会泄露用户真实IP地址和其他敏感数据，目前已经影响数百万用户。

VPN或虚拟专用网络是保护我们日常在线活动的好方法，之所以说它好，主要是因为我们在使用它们上网时，这些工具可以加密数据，并有助于掩盖实际IP地址。

虽然有些人选择VPN服务来实现在线匿名和数据安全，但许多人使用VPN的一个主要原因是隐藏他们的真实IP地址以绕过在线审查和访问被他们的ISP阻止的网站。

该漏洞是由隐私倡导公司VPN Mentor聘用的三名黑客团队发现的。目前已知三名黑客中的一位是Paulos Yibelo，他的外号为“ File Descriptor”，目前在德国安全企业Cure53公司工作，Paulos Yibelo目前已经发现了多个VPN产品中存在类似问题。

2017年10月，一家自称不记录日志的香港VPN服务商 PureVPN 被指帮助FBI抓住了一名网络骚扰者。在对这三种VPN服务进行了一系列隐私测试之后，研究小组发现这三种VPN服务都会泄漏其用户的真实IP地址，这些IP地址可用于识别单个用户及其实际位置。

VPN Mentor表示：

如果用户使用这几个VPN，这些漏洞也可以允许政府，恶意组织或个人识别用户的实际IP地址。

三个漏洞就可解密VPN数据

据了解，免费的 HotSpot Shield Chrome 插件中存在三个严重漏洞：劫持全部流量（CVE-2018-7879）、DNS泄露（CVE-2018-7878）、真实的I P 地址泄露（CVE-2018-7880）。目前这三个漏洞已经被修复，桌面版和手机端的 HotSpot Shield 不受漏洞影响。不过 PureVPN 和 Zenmate 中的漏洞还尚未修复，且 Zenmate 中的问题最为严重。

HotSpot Shield中发现的三个漏洞介绍如下：

劫持所有流量（CVE-2018-7879）：此漏洞驻留在Hotspot Shield的Chrome扩展中，可能允许远程黑客劫持并将受害者的网络流量重定向到恶意网站。

DNS泄漏（CVE-2018-7878）：Hotspot Shield中的DNS泄漏漏洞会将用户的原始IP地址暴露给DNS服务器，允许ISP监控和记录他们的在线活动。

真实的IP地址泄露（CVE-2018-7880）：由于黑客可以跟踪用户的真实位置和ISP，因此此漏洞给用户带来了隐私威胁。发生该问题的原因是该网络扩展有一个“直接连接”的白名单，研究人员发现，URL中的任何具有本地主机相关的域，例如localhost.foo.bar.com和“type=a1fproxyspeedtest”都会绕过代理并泄露真实IP地址。