CVE-2024-3661 Güvenlik Açığı
Araştırmacılar, tehdit aktörlerinin aynı yerel ağda bulunan kurbanların ağ trafiğine müdahale etmesini sağlayan bir Sanal Özel Ağ (VPN) kaçırma tekniği olan TunnelVision adlı bir yöntemi ortaya çıkardı.
Bu 'gizlemeyi kaldırma' yaklaşımı, CVE tanımlayıcısı CVE-2024-3661 ile tanımlanmıştır. DHCP seçenek 121 yollarını destekleyen bir DHCP istemcisi içeren tüm işletim sistemlerini etkiler. TunnelVision, VPN kullanıcılarının yönlendirme tablosunu değiştirmek için sınıfsız statik yönlendirme seçeneği 121'i kullanan, saldırgan tarafından kontrol edilen bir DHCP sunucusundan yararlanarak şifrelenmemiş trafiği bir VPN üzerinden yeniden yönlendirir. DHCP protokolü, tasarımı gereği bu tür seçenek mesajlarının kimliğini doğrulamaz, dolayısıyla onları manipülasyona açık hale getirir.
DHCP Protokolünün Rolü
DHCP, İnternet Protokolü (IP) adreslerini ve alt ağ maskeleri ve varsayılan ağ geçitleri gibi ilgili yapılandırma ayrıntılarını ana bilgisayarlara otomatik olarak atamak ve onların bir ağa ve onun kaynaklarına bağlanmasını sağlamak üzere tasarlanmış bir istemci/sunucu protokolüdür.
Bu protokol, kullanılabilir adres havuzunu koruyan ve ağ başlatıldığında herhangi bir DHCP etkin istemciye bir adres atayan bir sunucu aracılığıyla IP adreslerinin güvenilir şekilde tahsis edilmesini kolaylaştırır.
Bu IP adresleri statik (kalıcı olarak atanan) yerine dinamik (kiralanan) olduğundan, artık kullanılmayan adresler yeniden atanmak üzere otomatik olarak havuza döndürülür.
Güvenlik açığı, bir saldırganın yönlendirmeyi değiştirmek ve VPN trafiğini yeniden yönlendirmek için DHCP mesajları gönderme yeteneğine sahip olmasına olanak tanır. Bu istismar, saldırganın VPN kapsamında güvenli olması beklenen ağ trafiğini potansiyel olarak görüntülemesine, kesintiye uğratmasına veya değiştirmesine olanak tanır. Bu yöntem VPN teknolojilerinden veya temel protokollerden bağımsız çalıştığından, kullanılan VPN sağlayıcısından veya uygulamasından tamamen etkilenmez.
CVE-2024-3661 Güvenlik Açığı Başlıca İşletim Sistemlerinin Çoğunu Etkileyebilir
Temelde TunnelVision, VPN kullanıcılarını, bağlantılarının güvenli ve bir tünel aracılığıyla şifrelenmiş olduğunu düşünerek aldatır, ancak potansiyel inceleme için onları saldırganın sunucusuna yönlendirir. VPN trafiğini başarılı bir şekilde açığa çıkarmak için, hedeflenen ana bilgisayarın DHCP istemcisinin DHCP seçeneği 121'i desteklemesi ve saldırganın sunucusundan bir kiralamayı kabul etmesi gerekir.
Bu saldırı, güvenilmeyen Wi-Fi ağlarına veya sahte ISP'lere bağlanırken korumalı bir VPN tünelinden trafiği sızdıran ve ortadaki düşman (AitM) saldırılarına yol açan TunnelCrack'e benzer.
Sorun, Windows, Linux, macOS ve iOS gibi büyük işletim sistemlerini etkiliyor ancak DHCP seçenek 121'i desteklememesi nedeniyle Android'i etkilemiyor. Trafiği güvence altına almak için yalnızca yönlendirme kurallarına dayanan VPN araçları da etkileniyor.
