Уязвимости FortiOS, VPN после age-check и L×Box: 3 новости

Выпуск 18 октября посвящён трём сдвигам вокруг VPN: атаке на FortiOS с помощью импланта PEERSTITCH, росту интереса британцев к VPN после введения проверок возраста и выходу L×Box в Google Play.

• PEERSTITCH обходил проверки VPN-сессий на FortiOS
• Проверки возраста резко повысили интерес британцев к VPN
• L×Box выпустил собственное ядро и появился в Google Play

PEERSTITCH внедрялся в FortiOS и пропускал проверки VPN

Имплант PEERSTITCH позволял обходить стандартные проверки безопасности FortiOS для отдельных VPN-сессий. Об этом сообщила Unit 42 из Palo Alto Networks.

Резидентный ARM64-имплант через механизм ptrace внедрялся в системные демоны FortiOS miglogd и iked. Если буфер VPN-сессии содержал специальную метку, iked пропускал обычные проверки безопасности. В результате трафик атакующих мог проходить через устройство, не вызывая ожидаемой реакции защитных механизмов.

Для доставки PEERSTITCH использовали уязвимость CVE-2025-61624, связанную с path traversal в CLI FortiOS. Её оценка по CVSS составила 5,4, а Fortinet выпустила исправление в апреле 2026 года. При этом описанная цепочка атаки началась ещё в сентябре 2024 года с эксплуатации FortiJump, уязвимости CVE-2024-47575.

Сценарий показывает, почему обновление FortiOS нельзя откладывать до момента, когда появится публичный отчёт об атаке. В этом случае злоумышленники использовали сразу несколько этапов: первоначный доступ через FortiJump, закрепление в системе и вмешательство в обработку VPN-сессий.

После проверок возраста британцы стали чаще искать VPN

После вступления в силу британского Online Safety Act обсуждения VPN в интернете выросли на 145%, а поисковые запросы в Google увеличились на 147% относительно обычного дня. Пик пришёлся примерно на 25 июля 2025 года, когда в стране заработали проверки возраста.

К такому выводу пришли исследователи Эдинбургского, Даремского и Ньюкаслского университетов. Результаты опубликованы в Proceedings on Privacy Enhancing Technologies.

Авторы фиксировали именно интерес к VPN, а не доказанное использование сервисов. Данных о загрузках VPN-приложений у исследователей не было. Поэтому рост поисковых запросов нельзя напрямую трактовать как увеличение числа новых пользователей.

Связь по времени при этом выглядит показательно: ужесточение доступа к контенту быстро привело к росту обсуждений инструментов обхода ограничений. Для VPN-сервисов подобные законодательные изменения становятся источником дополнительного спроса, даже если пользователи пока только ищут информацию.

L×Box вышел в Google Play и расширил ядро sing-box

VPN-клиент L×Box стал доступен в Google Play. Ранее приложение для Android и Android TV распространялось через F-Droid и GitHub. О выходе разработчик сообщил на Хабре 17 октября.

Проект использует собственный форк ядра sing-box под названием sing-box-lx. Он распространяется по лицензии GPL-3.0 и получил поддержку AmneziaWG, XHTTP, MASQUE, TrustTunnel и постквантового VLESS. В состав проекта также входит демон lxd для роутеров.

В версии 2.25.13 разработчики исправили утечки трафика через tun0. Клиент поддерживает WireGuard, OpenVPN, OpenConnect, VLESS, Shadowsocks, Hysteria2, TUIC и другие протоколы.

Для Windows, macOS и Linux у проекта есть отдельный десктопный лаунчер singbox-launcher, написанный на Go. Выход в Google Play снижает барьер для установки L×Box на Android, а развитие собственного ядра даёт проекту больше контроля над протоколами и исправлениями.

Для пользователей это означает более широкий выбор клиентов и конфигураций, но обновлять приложение всё равно нужно регулярно: исправление утечек через tun0 напрямую связано с сохранением приватности VPN-соединения.

P.S. Больше свободы в сети - заходите в бот

По разработке ботов - пишите в личные сообщения