Vulnérabilité CVE-2024-3661 exploitée dans l'attaque TunnelVision
Les chercheurs ont décrit une technique appelée TunnelVision, qui permet aux auteurs de menaces de surveiller le trafic réseau des victimes en exploitant le même réseau local. Cette méthode de contournement, appelée « decloaking », a reçu l'identifiant CVE-2024-3661 et affecte les systèmes d'exploitation qui utilisent un client DHCP et prennent en charge les routes DHCP de l'option 121.
Fondamentalement, TunnelVision implique de diriger le trafic non chiffré via un VPN en utilisant un serveur DHCP manipulé par un attaquant pour configurer une route sur la table de routage de l'utilisateur VPN à l'aide de l'option DHCP 121. Cette méthode exploite le manque d'authentification du protocole DHCP pour ces messages d'option.
DHCP, un protocole client/serveur, attribue des adresses IP et des détails de configuration tels que des masques de sous-réseau et des passerelles aux appareils rejoignant un réseau. Il gère la location d'adresses IP, récupérant les adresses inutilisées pour la réallocation.
TunnelVision permet la falsification DHCP
La vulnérabilité permet aux attaquants de manipuler les routes via des messages DHCP, redirigeant le trafic VPN pour potentiellement lire, perturber ou modifier les données réseau qui devraient être protégées par le VPN. Cette approche est indépendante des technologies ou fournisseurs VPN spécifiques.
L'attaque TunnelVision trompe les utilisateurs VPN en leur faisant croire que leurs connexions sont sécurisées et cryptées, tandis que le trafic est redirigé vers le serveur de l'attaquant pour une éventuelle inspection. Une exploitation réussie nécessite que le client DHCP de la victime implémente l'option DHCP 121 et accepte un bail du serveur de l'attaquant.
Cette attaque ressemble à TunnelCrack, qui fait fuir le trafic d'un tunnel VPN lorsqu'il est connecté à des réseaux non fiables, facilitant ainsi les attaques d'adversaire au milieu (AitM). Notamment, les principaux systèmes d'exploitation comme Windows, Linux, macOS et iOS sont concernés, à l'exclusion d'Android en raison du manque de prise en charge de l'option DHCP 121. Les outils VPN s'appuyant uniquement sur des règles de routage sont également vulnérables.
Les chercheurs en sécurité décrivent TunnelVision comme une attaque par famine DHCP créant un canal secondaire pour contourner l'encapsulation VPN et rediriger le trafic en dehors du tunnel VPN.
