CVE-2024-3661 Sårbarhed
Forskere har afsløret en metode ved navn TunnelVision, en teknik til unddragelse af virtuelt privat netværk (VPN), der gør det muligt for trusselsaktører at opsnappe netværkstrafik fra ofre, der er på det samme lokale netværk.
Denne "decloaking"-tilgang er blevet identificeret med CVE-identifikation CVE-2024-3661. Det påvirker alle operativsystemer, der inkorporerer en DHCP-klient, der understøtter DHCP option 121-ruter. TunnelVision omdirigerer i det væsentlige ukrypteret trafik gennem en VPN ved at udnytte en angriberstyret DHCP-server, som bruger klasseløs statisk rutemulighed 121 til at ændre routingtabellen for VPN-brugere. DHCP-protokollen autentificerer efter design ikke sådanne valgmeddelelser, hvilket udsætter dem for manipulation.
DHCP-protokollens rolle
DHCP er en klient/server-protokol designet til automatisk at tildele Internet Protocol (IP)-adresser og relaterede konfigurationsdetaljer såsom undernetmasker og standardgateways til værter, hvilket gør dem i stand til at oprette forbindelse til et netværk og dets ressourcer.
Denne protokol letter den pålidelige tildeling af IP-adresser gennem en server, der vedligeholder en pulje af tilgængelige adresser og tildeler en til enhver DHCP-aktiveret klient ved netværksstart.
Da disse IP-adresser er dynamiske (leasede) snarere end statiske (permanent tildelt), returneres adresser, der ikke længere er i brug, automatisk til puljen til omfordeling.
Sårbarheden tillader en angriber med evnen til at sende DHCP-meddelelser for at manipulere routing og omdirigere VPN-trafik. Denne udnyttelse tillader angriberen potentielt at se, forstyrre eller ændre netværkstrafik, der forventedes at være sikker under VPN. Da denne metode fungerer uafhængigt af VPN-teknologier eller underliggende protokoller, er den fuldstændig upåvirket af den anvendte VPN-udbyder eller implementering.
CVE-2024-3661-sårbarheden kan påvirke de fleste større operativsystemer
I det væsentlige snyder TunnelVision VPN-brugere til at tro, at deres forbindelser er sikre og krypteret gennem en tunnel, men omdirigerer dem til angriberens server for potentiel inspektion. For at afsløre VPN-trafik med succes skal den målrettede værts DHCP-klient understøtte DHCP-mulighed 121 og acceptere en lejekontrakt fra angriberens server.
Dette angreb ligner TunnelCrack, som lækker trafik fra en beskyttet VPN-tunnel, når der oprettes forbindelse til upålidelige Wi-Fi-netværk eller useriøse internetudbydere, hvilket fører til AitM-angreb (adversary-in-the-middle).
Problemet påvirker store operativsystemer såsom Windows, Linux, macOS og iOS, men ikke Android på grund af dets manglende understøttelse af DHCP-mulighed 121. VPN-værktøjer, der udelukkende er afhængige af routingregler for at sikre trafik, er også påvirket.
