FICHE CVE

CVE-2025-1566

Publiée le 2025-04-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Google ChromeOS (version 16002.23.0 du canal Dev) présente une faille dans son VPN natif qui ne parvient pas à acheminer le trafic DNS via le tunnel lors des transitions d'état. Un attaquant positionné sur le réseau local peut ainsi observer vos requêtes DNS en texte clair, lui permettant de voir quels sites web vous visitez malgré l'activation du VPN. Cette opération est facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur, seulement une proximité réseau.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-1319

Publiée2025-04-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

DNS Leak in Native System VPN in Google ChromeOS Dev Channel on ChromeOS 16002.23.0 allows network observers to expose plaintext DNS queries via failure to properly tunnel DNS traffic during VPN state transitions.