Пользователь «Хабра» под ником runetfreedom рассказал о критической уязвимости, которая, по его словам, затрагивает популярные VPN-клиенты на базе протокола VLESS. Среди них он перечислил Happ, v2RayTun, V2BOX, v2rayNG, Hiddify, Exclave, Npv Tunnel и Neko Box.
Суть проблемы, как утверждает автор, связана с тем, что такие приложения поднимают локальный socks5-прокси без авторизации. Если на устройстве пользователя окажется стороннее приложение со шпионским модулем, оно сможет подключиться к этому прокси и определить внешний IP-адрес сервера, через который работает VPN.
По оценке автора, такая схема потенциально может упростить блокировку VPN-серверов. При этом он отмечает, что раздельное туннелирование, изолированные среды и другие способы защиты в данном случае проблему не решают.
Отдельно автор выделил клиент Happ. По его словам, в наиболее неблагоприятном сценарии уязвимость в нём может представлять ещё более серьёзный риск и затрагивать не только IP-адрес сервера, но и безопасность пользовательского трафика.
Он также сообщил, что направил информацию разработчикам перечисленных клиентов. По его словам, на 7 апреля 2026 года большинство из них проблему ещё не устранили. При этом разработчики v2RayTun уже заявили, что исправят уязвимость, а команда Happ после первоначального отказа также пообещала внести изменения.
