CVE-2024-3661 haavoittuvuus
Tutkijat ovat löytäneet TunnelVision-nimisen menetelmän, VPN:n (Virtual Private Network) kiertotekniikan, jonka avulla uhkatekijät voivat siepata samassa paikallisessa verkossa olevien uhrien verkkoliikennettä.
Tämä "decloaking" lähestymistapa on tunnistettu CVE-tunnisteella CVE-2024-3661. Se vaikuttaa kaikkiin käyttöjärjestelmiin, joissa on DHCP-asiakas, joka tukee DHCP-vaihtoehdon 121 reittejä. TunnelVision olennaisesti reitittää salaamattoman liikenteen VPN:n kautta hyödyntämällä hyökkääjän ohjaamaa DHCP-palvelinta, joka käyttää luokkatonta staattista reittivaihtoehtoa 121 VPN-käyttäjien reititystaulukon muokkaamiseen. DHCP-protokolla ei ole suunniteltu todentamaan tällaisia vaihtoehtoviestejä, jolloin ne altistuvat manipulaatiolle.
DHCP-protokollan rooli
DHCP on asiakas/palvelinprotokolla, joka on suunniteltu automaattisesti määrittämään Internet Protocol (IP) -osoitteita ja niihin liittyviä konfigurointitietoja, kuten aliverkon peitteitä ja oletusyhdyskäytäviä, jotta ne voivat muodostaa yhteyden verkkoon ja sen resursseihin.
Tämä protokolla helpottaa IP-osoitteiden luotettavaa allokointia palvelimen kautta, joka ylläpitää käytettävissä olevien osoitteiden poolia ja määrittää sellaisen mille tahansa DHCP-yhteensopivalle asiakkaalle verkon käynnistyksen yhteydessä.
Koska nämä IP-osoitteet ovat dynaamisia (vuokrattuja) staattisten (pysyvästi määritettyjen) sijasta, osoitteet, jotka eivät ole enää käytössä, palautetaan automaattisesti pooliin uudelleenmääritettäviksi.
Haavoittuvuuden ansiosta hyökkääjä, joka pystyy lähettämään DHCP-viestejä, voi manipuloida reititystä ja ohjata VPN-liikennettä. Tämä hyväksikäyttö antaa hyökkääjälle mahdollisuuden tarkastella, häiritä tai muokata verkkoliikennettä, jonka odotettiin olevan turvallista VPN:n puitteissa. Koska tämä menetelmä toimii riippumattomasti VPN-tekniikoista tai taustalla olevista protokollista, VPN-palveluntarjoaja tai käytetty toteutus ei vaikuta siihen täysin.
CVE-2024-3661-haavoittuvuus saattaa vaikuttaa useimpiin tärkeimpiin käyttöjärjestelmiin
Pohjimmiltaan TunnelVision pettää VPN-käyttäjiä ajattelemaan, että heidän yhteydensä ovat turvallisia ja salattuja tunnelin kautta, mutta ohjaa heidät hyökkääjän palvelimelle mahdollista tarkastusta varten. Jotta VPN-liikenne voidaan paljastaa onnistuneesti, kohteena olevan isännän DHCP-asiakkaan on tuettava DHCP-vaihtoehtoa 121 ja hyväksyttävä hyökkääjän palvelimelta tehty vuokrasopimus.
Tämä hyökkäys muistuttaa TunnelCrackia, joka vuotaa liikennettä suojatusta VPN-tunnelista muodostaessaan yhteyden epäluotettaviin Wi-Fi-verkkoihin tai rogue-internet-palveluntarjoajiin, mikä johtaa AitM-hyökkäyksiin.
Ongelma vaikuttaa suuriin käyttöjärjestelmiin, kuten Windowsiin, Linuxiin, macOS:ään ja iOS:ään, mutta ei Androidiin, koska se ei tue DHCP-vaihtoehtoa 121. Vaikuttaa myös VPN-työkaluihin, jotka turvaavat liikenteen turvaamiseksi yksinomaan reitityssääntöihin.
