ExpressVPNはDNSリークのためWindowsでのスプリットトンネリングを無効化

ExpressVPNは、DNSリクエストをサーバーに正しくリダイレクトできないバグのため、Windowsアプリのスプリットトンネリング機能の使用を一時停止しました。このバグはCNETのAttila Tomaschek氏によって最初に発見され、同氏は自身のWindowsコンピューターでこの問題を観察した後、ExpressVPNに連絡しました。

ExpressVPNはブログでこの問題を公表し、「この問題はWindows版アプリバージョン12という単一のプラットフォーム上でユーザーの1%未満に影響を及ぼすと考えられていますが、お客様への潜在的なリスクを最小限に抑えるため、ExpressVPNは当該プラットフォーム上でスプリットトンネリングを完全に無効化するアップデートを展開しました。エンジニアが問題を調査・修正するまで、この機能は無効化されたままとなります」と述べています。

スプリットトンネリングは、VPN 経由でルーティングするアプリとプログラム、および独自のローカルネットワーク経由でルーティングしたままにするアプリとプログラムをユーザーが選択できるようにする機能です。

通常、ユーザーがスプリットトンネル経由でExpressVPNに接続すると、選択したアプリへのDNSリクエストはVPNサーバーを経由した暗号化された接続で送信されます。しかし、このバグにより、「これらのリクエストの一部がサードパーティサーバー（ほとんどの場合、ユーザーのインターネットサービスプロバイダー）に送信されてしまう」状態になりました。

このバグは2022年5月のバージョン12.23.1で始まり、今年2月のバージョン12.72.0まで続いたと考えられています。

幸いなことに、ExpressVPNは、このバグの影響は「Windows版バージョン12の単一アプリプラットフォームのユーザーの1%」にのみ及んだ可能性が高いと述べています。さらに、「特定のスプリットトンネリングモード『選択したアプリのみにVPNの使用を許可する』を使用した場合にのみ問題を再現できましたが、その場合でも問題は一部のケースでしか発生しませんでした。テストでは、スプリットトンネリングを全く有効化していなかったユーザー、または『選択したアプリにVPNの使用を許可しない』モードを選択したユーザーのDNSリクエストは適切に処理されました。暗号化などの他のVPN保護機能は影響を受けませんでした」と付け加えています。

スプリットトンネリング機能は、ExpressVPNが公式の修正プログラムをリリースするまで、当面の間無効化されています。スプリットトンネリングを引き続きご利用になりたい場合は、ExpressVPNのWindowsアプリバージョン10が引き続き利用可能で、正常に動作しています。