CVE-2024-3661 ช่องโหว่
นักวิจัยได้ค้นพบวิธีการที่เรียกว่า TunnelVision ซึ่งเป็นเทคนิคการหลีกเลี่ยง Virtual Private Network (VPN) ที่ทำให้ผู้คุกคามสามารถสกัดกั้นการรับส่งข้อมูลเครือข่ายของเหยื่อที่อยู่บนเครือข่ายท้องถิ่นเดียวกัน
วิธีการ 'ถอดรหัส' นี้ได้รับการระบุด้วยตัวระบุ CVE CVE-2024-3661 ส่งผลกระทบต่อระบบปฏิบัติการทั้งหมดที่รวมไคลเอนต์ DHCP ที่รองรับเส้นทาง DHCP ตัวเลือก 121 TunnelVision เปลี่ยนเส้นทางการรับส่งข้อมูลที่ไม่ได้เข้ารหัสผ่าน VPN โดยใช้ประโยชน์จากเซิร์ฟเวอร์ DHCP ที่ควบคุมโดยผู้โจมตี ซึ่งใช้ตัวเลือกเส้นทางคงที่แบบไม่มีคลาส 121 เพื่อแก้ไขตารางเส้นทางของผู้ใช้ VPN ตามการออกแบบแล้ว โปรโตคอล DHCP ไม่ได้รับรองความถูกต้องของข้อความตัวเลือกดังกล่าว จึงทำให้ข้อความเหล่านี้ถูกจัดการ
บทบาทของโปรโตคอล DHCP
DHCP เป็นโปรโตคอลไคลเอ็นต์/เซิร์ฟเวอร์ที่ออกแบบมาเพื่อกำหนดที่อยู่อินเทอร์เน็ตโปรโตคอล (IP) และรายละเอียดการกำหนดค่าที่เกี่ยวข้อง เช่น ซับเน็ตมาสก์และเกตเวย์เริ่มต้นให้กับโฮสต์โดยอัตโนมัติ ทำให้สามารถเชื่อมต่อกับเครือข่ายและทรัพยากรได้
โปรโตคอลนี้อำนวยความสะดวกในการจัดสรรที่อยู่ IP ที่เชื่อถือได้ผ่านเซิร์ฟเวอร์ที่รักษากลุ่มที่อยู่ที่มีอยู่และกำหนดที่อยู่หนึ่งรายการให้กับไคลเอนต์ที่เปิดใช้งาน DHCP เมื่อเริ่มต้นเครือข่าย
เนื่องจากที่อยู่ IP เหล่านี้เป็นแบบไดนามิก (เช่า) แทนที่จะเป็นแบบคงที่ (มอบหมายอย่างถาวร) ที่อยู่ที่ไม่ได้ใช้งานอีกต่อไปจะถูกส่งกลับไปยังกลุ่มโดยอัตโนมัติเพื่อมอบหมายใหม่
ช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถส่งข้อความ DHCP เพื่อจัดการการกำหนดเส้นทางและเปลี่ยนเส้นทางการรับส่งข้อมูล VPN การใช้ประโยชน์นี้ทำให้ผู้โจมตีสามารถดู ขัดขวาง หรือแก้ไขการรับส่งข้อมูลเครือข่ายที่คาดว่าจะปลอดภัยภายใต้ VPN เนื่องจากวิธีนี้ทำงานโดยไม่ขึ้นอยู่กับเทคโนโลยี VPN หรือโปรโตคอลพื้นฐาน จึงไม่ได้รับผลกระทบใด ๆ จากผู้ให้บริการ VPN หรือการใช้งานที่ใช้
ช่องโหว่ CVE-2024-3661 อาจส่งผลกระทบต่อระบบปฏิบัติการหลักส่วนใหญ่
โดยพื้นฐานแล้ว TunnelVision หลอกลวงผู้ใช้ VPN ให้คิดว่าการเชื่อมต่อของพวกเขาปลอดภัยและเข้ารหัสผ่านอุโมงค์ แต่เปลี่ยนเส้นทางพวกเขาไปยังเซิร์ฟเวอร์ของผู้โจมตีเพื่อตรวจสอบที่อาจเกิดขึ้น เพื่อให้เปิดเผยการรับส่งข้อมูล VPN ได้สำเร็จ ไคลเอนต์ DHCP ของโฮสต์เป้าหมายจะต้องรองรับตัวเลือก DHCP 121 และยอมรับการเช่าจากเซิร์ฟเวอร์ของผู้โจมตี
การโจมตีนี้มีลักษณะคล้ายกับ TunnelCrack ซึ่งรั่วไหลการรับส่งข้อมูลจากอุโมงค์ VPN ที่ได้รับการป้องกันเมื่อเชื่อมต่อกับเครือข่าย Wi-Fi ที่ไม่น่าเชื่อถือหรือ ISP ปลอมแปลง ซึ่งนำไปสู่การโจมตีแบบศัตรูตรงกลาง (AitM)
ปัญหานี้ส่งผลกระทบต่อระบบปฏิบัติการหลัก เช่น Windows, Linux, macOS และ iOS แต่ไม่ใช่ Android เนื่องจากขาดการสนับสนุนสำหรับตัวเลือก DHCP 121 เครื่องมือ VPN ที่ใช้กฎการกำหนดเส้นทางเพียงอย่างเดียวเพื่อความปลอดภัยการรับส่งข้อมูลก็ได้รับผลกระทบเช่นกัน
