下载超过1亿的SuperVPN存在中间人攻击漏洞尚未修补，遭Google下架

安全厂商VPNPro发现，下载人次超过1亿的免费VPN软件SuperVPN有漏洞，可以轻易拦截用户流量以窃取机密，由于漏洞持续存在，本周已被Google从Play Store移除。

SuperVPN是由中国公民Jingrong Zheng，在新加坡成立的SuperSoftTech的产品。SuperVPN在Google Play Store下载人次超过1.05亿，超过领导厂商NordVPN及ExpressVPN。

VPNPro团队去年发现，SuperVPN用户端软件存在中间人攻击（man-in-the-middle，MiTM）漏洞。在一次测试中，他们先是发现SuperVPN连向多台主机，有些连线是未加密的HTTP连线。虽然SuperVNP将连线内容予以加密，但其解密金钥却写死（hardcoded）在App中。研究人员以之解密后，进一步发现SuperVPN服务器敏感资讯、凭证及VPN服务器验证的EAP（Extensible Authentication Protocol）凭证。取得这些资讯后，研究人员就可以用假服务器IP等资料，代换掉真正的SuperVPN服务器资料。

也就是说，这个漏洞可让骇客借由设立恶意网站，导引用户流量，进而看到掌握使用者的通讯内容，或是加入恶意程式。

VPNPro一直试图联络SuperVPN公司，但皆无法取得连系。今年2月他们将研究发现，分享给漏洞揭露平台HackerOne。HackerOne允许公布下载人次超过1亿的软件漏洞。3月19日SuperVPN官方终于证实有此项漏洞，但最新版仍未修补，表示会在下一版修补完成。Google遂在本周三，将之从Play Store上移除。

研究人员指出，从SuperVPN在Play Store上架迄今，就有大大小小的漏洞，唯一不确定的是，这是无心造成还是有意留下的漏洞。因此安全厂商呼吁，用户手机中如果已安装该App，最好立刻删除。