09 de mayo de 2024Sala de prensaCifrado/Privacidad de datos Los investigadores han detallado una técnica de derivación de la red privada virtual (VPN) denominada TunnelVision que permite a los actores de amenazas espiar el tráfico de red de la víctima simplemente estando en la misma red local. Al método de «decloaking» se le ha asignado el identificador CVE CVE-2024-3661 (puntuación CVSS: 7,6). Afecta a todos los sistemas operativos que implementan un cliente DHCP y admite rutas de la opción 121 de DHCP. En esencia, TunnelVision implica el enrutamiento del tráfico sin cifrado a través de una VPN mediante un servidor DHCP configurado por el atacante utilizando la opción de ruta estática sin clases 121 para establecer una ruta en la tabla de enrutamiento del usuario de VPN. También surge del hecho de que el protocolo DHCP, por diseño, no autentica dichos mensajes de opción, exponiéndolos así a manipulación. DHCP es un protocolo cliente/servidor que proporciona automáticamente a un host de Protocolo de Internet (IP) su dirección IP y otra información de configuración relacionada, como la máscara de subred y la puerta de enlace predeterminada, para acceder a la red y sus recursos. También ayuda a configurar de manera confiable las direcciones IP a través de un servidor que mantiene un conjunto de direcciones IP y alquila una dirección a cualquier cliente habilitado para DHCP cuando se inicia en la red. Debido a que estas direcciones IP son dinámicas (es decir, arrendadas) en lugar de estáticas (es decir, asignadas permanentemente), las direcciones que ya no están en uso se devuelven automáticamente al grupo para su reasignación. La vulnerabilidad, en pocas palabras, hace posible que un atacante con la capacidad de enviar mensajes DHCP manipule rutas para redirigir el tráfico VPN, permitiéndole así leer, interrumpir o posiblemente modificar el tráfico de red que se esperaba que estuviera protegido por la VPN. . «Debido a que esta técnica no depende de la explotación de tecnologías VPN o protocolos subyacentes, funciona completamente independientemente del proveedor o la implementación de VPN», dijeron los investigadores de Leviathan Security Group, Dani Cronce y Lizzie Moratti. «Nuestra técnica consiste en ejecutar un servidor DHCP en la misma red que un usuario VPN objetivo y también configurar nuestra configuración DHCP para que se utilice como puerta de enlace. Cuando el tráfico llega a nuestra puerta de enlace, utilizamos reglas de reenvío de tráfico en el servidor DHCP para pasar tráfico a través de una puerta de enlace legítima mientras la espiamos». En otras palabras, TunnelVision engaña al usuario de VPN haciéndole creer que sus conexiones están seguras y enrutadas a través de un túnel cifrado, cuando en realidad ha sido redirigido al servidor del atacante para que pueda ser potencialmente inspeccionado. Sin embargo, para poder desenmascarar con éxito el tráfico VPN, el cliente DHCP del host objetivo debe implementar la opción 121 de DHCP y aceptar una concesión de DHCP del servidor controlado por el atacante. El ataque también es similar a TunnelCrack, que está diseñado para filtrar tráfico fuera de un túnel VPN protegido cuando se conecta a una red Wi-Fi no confiable o a un ISP fraudulento, lo que resulta en ataques de adversario en el medio (AitM). El problema afecta a todos los principales sistemas operativos como Windows, Linux, macOS e iOS, con la excepción de Android, ya que no es compatible con la opción DHCP 121. También afecta a las herramientas VPN que dependen únicamente de reglas de enrutamiento para proteger el tráfico del host. Desde entonces, Mullvad ha confirmado que las versiones de escritorio de su software tienen reglas de firewall para bloquear cualquier tráfico a IP públicas fuera del túnel VPN, pero reconoció que la versión de iOS es vulnerable a TunnelVision. Sin embargo, aún debe integrarse y enviar una solución debido a la complejidad de la tarea, en la que, según la compañía sueca, ha estado trabajando durante «algún tiempo». «La vulnerabilidad TunnelVision (CVE-2024-3661) expone un método para que los atacantes eviten la encapsulación de VPN y redireccionen el tráfico fuera del túnel VPN», dijeron los investigadores de Zscaler, describiéndolo como una técnica que emplea un ataque de inanición de DHCP para crear un canal lateral. . «Esta técnica implica utilizar la opción 121 de DHCP para enrutar el tráfico sin cifrado a través de una VPN y, en última instancia, enviarlo a Internet a través de un canal lateral creado por el atacante». Para mitigar TunnelVision, se recomienda a las organizaciones implementar vigilancia DHCP, protecciones ARP y seguridad de puertos en los conmutadores. También se recomienda implementar espacios de nombres de red en Linux para corregir el comportamiento. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.