CVE-2024-3661 Ranljivost
Raziskovalci so odkrili metodo, imenovano TunnelVision, tehniko izogibanja navideznemu zasebnemu omrežju (VPN), ki akterjem groženj omogoča prestrezanje omrežnega prometa žrtev, ki so v istem lokalnem omrežju.
Ta pristop "razkrivanja" je bil identificiran z identifikatorjem CVE CVE-2024-3661. Vpliva na vse operacijske sisteme, ki vključujejo odjemalca DHCP, ki podpira poti možnosti 121 DHCP. TunnelVision v bistvu preusmeri nešifriran promet prek VPN-ja z uporabo strežnika DHCP, ki ga nadzoruje napadalec, ki uporablja brezrazredno možnost statične poti 121 za spreminjanje usmerjevalne tabele uporabnikov VPN. Protokol DHCP po zasnovi ne preverja pristnosti takih opcijskih sporočil in jih tako izpostavlja manipulaciji.
Vloga protokola DHCP
DHCP je protokol odjemalec/strežnik, zasnovan za samodejno dodeljevanje naslovov internetnega protokola (IP) in povezanih podrobnosti konfiguracije, kot so podomrežne maske in privzeti prehodi, gostiteljem, kar jim omogoča povezavo z omrežjem in njegovimi viri.
Ta protokol omogoča zanesljivo dodeljevanje naslovov IP prek strežnika, ki vzdržuje skupino razpoložljivih naslovov in enega dodeli kateremu koli odjemalcu, ki podpira DHCP, ob zagonu omrežja.
Ker so ti naslovi IP dinamični (zakupljeni) in ne statični (trajno dodeljeni), se naslovi, ki niso več v uporabi, samodejno vrnejo v skupino za ponovno dodelitev.
Ranljivost omogoča napadalcu z zmožnostjo pošiljanja sporočil DHCP za manipulacijo usmerjanja in preusmerjanje prometa VPN. To izkoriščanje napadalcu dovoljuje morebitni ogled, motenje ali spreminjanje omrežnega prometa, za katerega se pričakuje, da bo varen v VPN. Ker ta metoda deluje neodvisno od tehnologij VPN ali osnovnih protokolov, ponudnik VPN ali uporabljena implementacija nanjo popolnoma ne vplivata.
Ranljivost CVE-2024-3661 lahko vpliva na večino večjih operacijskih sistemov
V bistvu TunnelVision zavede uporabnike VPN, da mislijo, da so njihove povezave varne in šifrirane skozi tunel, vendar jih preusmeri na napadalčev strežnik za morebiten pregled. Za uspešno izpostavitev prometa VPN mora odjemalec DHCP ciljnega gostitelja podpirati možnost DHCP 121 in sprejeti najem od napadalčevega strežnika.
Ta napad je podoben TunnelCracku, ki uhaja promet iz zaščitenega tunela VPN pri povezovanju z nezaupljivimi omrežji Wi-Fi ali lažnimi ponudniki internetnih storitev, kar vodi do napadov nasprotnika v sredini (AitM).
Težava vpliva na glavne operacijske sisteme, kot so Windows, Linux, macOS in iOS, ne pa tudi na Android zaradi pomanjkanja podpore za možnost DHCP 121. Prizadeta so tudi orodja VPN, ki se za varovanje prometa zanašajo izključno na pravila usmerjanja.
