CVE-2024-3661 Beveiligingslek misbruikt bij TunnelVision-aanval
Onderzoekers hebben een techniek beschreven genaamd TunnelVision, waarmee bedreigingsactoren het netwerkverkeer van slachtoffers kunnen monitoren door gebruik te maken van hetzelfde lokale netwerk. Deze bypass-methode, ook wel 'decloaking' genoemd, heeft de identificatie CVE-2024-3661 gekregen en heeft gevolgen voor besturingssystemen die een DHCP-client gebruiken en DHCP-optie 121-routes ondersteunen.
In principe houdt TunnelVision in dat niet-gecodeerd verkeer via een VPN wordt geleid door een door een aanvaller gemanipuleerde DHCP-server te gebruiken om een route te configureren in de routeringstabel van de VPN-gebruiker met behulp van DHCP-optie 121. Deze methode maakt gebruik van het gebrek aan authenticatie van het DHCP-protocol voor deze optieberichten.
DHCP, een client/server-protocol, wijst IP-adressen en configuratiedetails zoals subnetmaskers en gateways toe aan apparaten die zich bij een netwerk aansluiten. Het beheert de leasing van IP-adressen en claimt ongebruikte adressen voor hertoewijzing.
TunnelVision maakt DHCP-manipulatie mogelijk
Door het beveiligingslek kunnen aanvallers routes manipuleren via DHCP-berichten, waardoor VPN-verkeer wordt omgeleid om mogelijk netwerkgegevens te lezen, te verstoren of te wijzigen die door de VPN moeten worden beschermd. Deze aanpak is onafhankelijk van specifieke VPN-technologieën of providers.
De TunnelVision-aanval misleidt VPN-gebruikers door te geloven dat hun verbindingen veilig en gecodeerd zijn, terwijl het verkeer wordt omgeleid naar de server van de aanvaller voor mogelijke inspectie. Succesvolle exploitatie vereist dat de DHCP-client van het slachtoffer DHCP-optie 121 implementeert en een lease van de server van de aanvaller accepteert.
Deze aanval lijkt op TunnelCrack, dat verkeer lekt uit een VPN-tunnel wanneer deze is verbonden met niet-vertrouwde netwerken, waardoor Adversary-in-the-Middle-aanvallen (AitM) worden vergemakkelijkt. Met name grote besturingssystemen zoals Windows, Linux, macOS en iOS worden getroffen, met uitzondering van Android, vanwege een gebrek aan ondersteuning voor DHCP-optie 121. VPN-tools die uitsluitend afhankelijk zijn van routeringsregels zijn ook kwetsbaar.
Beveiligingsonderzoekers beschrijven TunnelVision als een DHCP-hongeraanval die een zijkanaal creëert om VPN-inkapseling te omzeilen en verkeer buiten de VPN-tunnel om te leiden.
