Vulnerabilitatea CVE-2024-3661
Cercetătorii au descoperit o metodă numită TunnelVision, o tehnică de evaziune a rețelei private virtuale (VPN) care le permite actorilor amenințărilor să intercepteze traficul de rețea al victimelor care se află în aceeași rețea locală.
Această abordare de „decloaking” a fost identificată cu identificatorul CVE CVE-2024-3661. Afectează toate sistemele de operare care încorporează un client DHCP care acceptă rutele opțiunii DHCP 121. TunnelVision redirecționează în esență traficul necriptat printr-un VPN utilizând un server DHCP controlat de atacator, care utilizează opțiunea 121 de rută statică fără clasă pentru a modifica tabelul de rutare al utilizatorilor VPN. Protocolul DHCP, prin proiectare, nu autentifică astfel de mesaje opționale, expunându-le astfel manipulării.
Rolul protocolului DHCP
DHCP este un protocol client/server conceput pentru a atribui automat adrese IP (Internet Protocol) și detalii de configurare aferente, cum ar fi măștile de subrețea și gateway-urile implicite, gazdelor, permițându-le să se conecteze la o rețea și la resursele acesteia.
Acest protocol facilitează alocarea fiabilă a adreselor IP printr-un server care menține un grup de adrese disponibile și atribuie una oricărui client DHCP activat la pornirea rețelei.
Deoarece aceste adrese IP sunt mai degrabă dinamice (închiriate) decât statice (alocate permanent), adresele care nu mai sunt utilizate sunt returnate automat în pool pentru reatribuire.
Vulnerabilitatea permite unui atacator cu capacitatea de a trimite mesaje DHCP pentru a manipula rutarea, redirecționând traficul VPN. Această exploatare permite atacatorului să vadă, să întrerupă sau să modifice traficul de rețea care se aștepta să fie securizat în cadrul VPN. Deoarece această metodă funcționează independent de tehnologiile VPN sau de protocoalele subiacente, este complet neafectată de furnizorul VPN sau de implementarea utilizată.
Vulnerabilitatea CVE-2024-3661 poate afecta majoritatea sistemelor de operare majore
În esență, TunnelVision îi înșeală pe utilizatorii VPN, făcându-le să creadă că conexiunile lor sunt sigure și criptate printr-un tunel, dar îi redirecționează către serverul atacatorului pentru o eventuală inspecție. Pentru a expune cu succes traficul VPN, clientul DHCP al gazdei vizate trebuie să accepte opțiunea DHCP 121 și să accepte un contract de închiriere de la serverul atacatorului.
Acest atac seamănă cu TunnelCrack, care scurge trafic dintr-un tunel VPN protejat atunci când se conectează la rețele Wi-Fi neîncrezătoare sau la ISP-uri necinstiți, ceea ce duce la atacuri adversar-in-the-middle (AitM).
Problema afectează sistemele de operare majore, cum ar fi Windows, Linux, macOS și iOS, dar nu și Android din cauza lipsei de suport pentru opțiunea DHCP 121. Instrumentele VPN care se bazează exclusiv pe regulile de rutare pentru a securiza traficul sunt, de asemenea, afectate.
