"Tünel Vizyonu" olarak adlandırılan yeni bir saldırı, trafiği VPN şifreli bir tünelin dışına yönlendirebilir ve saldırganların güvenli bir VPN bağlantısının görünümünü korurken şifrelenmemiş trafiğe göz atmalarına izin verir.
Leviathan Security tarafından bir raporda ayrıntılı olarak açıklanan yöntem, bir müşterinin sistemindeki sınıfsız statik yolların yapılandırılmasına izin veren dinamik ana bilgisayar yapılandırma protokolünün (DHCP) seçeneği 121'in kötüye kullanılmasına dayanmaktadır.
Saldırganlar, tüm VPN trafiğinin doğrudan yerel ağa veya kötü amaçlı bir ağ geçidine gönderilmesi için yönlendirme tablolarını değiştiren bir haydut DHCP sunucusu kurdu ve asla şifreli VPN tüneline girmedi.
Raporda, "Tekniğimiz, hedeflenen bir VPN kullanıcısı ile aynı ağda bir DHCP sunucusu çalıştırmak ve DHCP yapılandırmamızı kendisini bir ağ geçidi olarak kullanacak şekilde ayarlamaktır."
Diyerek şöyle devam etti: "Trafik ağ geçidimize çarptığında, biz onu yakarken meşru bir ağ geçidine aktarmak için DHCP sunucusundaki trafik yönlendirme kurallarını kullanıyoruz."
Sorun, DHCP'nin rotaları manipüle edebilen gelen mesajlar için bir kimlik doğrulama mekanizması eksikliğinde yatmaktadır ve CVE-2024-3661 güvenlik açığı tanımlayıcısı atanmıştır.
Güvenlik araştırmacıları, bu kırılganlığın en az 2002'den beri kötü aktörler tarafından sömürü için mevcut olduğunu, ancak vahşi doğada bilinen aktif sömürü vakaları olmadığını belirtiyor.
Leviathan, etkilenen satıcıların çoğunu, CISA ve EFF'yi bilgilendirdi. Araştırmacılar, farkındalığı artırmak ve VPN satıcılarını koruma önlemleri uygulamaya zorlamak için konuyu bir kavram kanıtı ile birlikte açıkladılar.
Kullanıcılar, cihazlarını saldırgan tarafından kontrol edilen bir ağa bağlarsa veya saldırganın varlığı olduğu bir ağa bağlarsa "TunnelVision" saldırılarından etkilenmeye daha yatkındır. Olası senaryolar arasında kahve dükkanları, oteller veya havaalanlarındakiler gibi kamu Wi-Fi ağları yer alacaktır.
Hedeflenen aygıttaki VPN, Leviathan'ın genellikle sızıntı önleme önlemleri olmadan sistem düzeyinde yönlendirme kurallarını kullanan çoğu VPN istemcisi için geçerli olduğunu söylediği yönlendirme manipülasyonuna duyarlı olmalıdır.
Son olarak, ağ bağlantısı sırasında kötü amaçlı DHCP yapılandırmasının uygulanması için hedef cihazdaki otomatik DHCP yapılandırmasının etkinleştirilmesi gerekir. Bu, yine yaygın olarak görülen bir yapılandırma.
Bununla birlikte, bu saldırının çalışması için, bir kullanıcının ağın meşru olanından önce Rogue DHCP sunucusuna bağlanması gerektiğine dikkat edilmelidir.
Araştırmacılar, saldırganların Rogue sunucularına, meşru sunucu ve ARP sahtekarlığı aleyhindeki DHCP açlık saldırıları da dahil olmak üzere birçok şekilde erişilme şansını artırabileceğini söylüyor.
TunnelVision CVE-2024-3661 Kusur, Windows, Linux, macOS ve iOS'u etkiler. Android'in DHCP seçeneği 121'i desteklememesi nedeniyle, TunnelVision saldırılarından etkilenmeyen tek ana işletim sistemidir.
Leviathan, VPN kullanıcıları için aşağıdaki hafifletmeyi önermektedir:
VPN sağlayıcılarına gelince, istemci yazılımlarını kendi DHCP işleyicilerini uygulamak veya riskli DHCP konfigürasyonlarının uygulanmasını engelleyecek ek güvenlik kontrollerini entegre etmeleri için teşvik edilirler.
Windscribe Pro VPN ile üç yıllık çevrimiçi gizlilikte 137 $ tasarruf edin
Android Bug Swees DNS sorguları VPN Kill Switch etkinleştirilse bile
Microsoft, April Windows güncellemelerinin VPN bağlantılarını kırmasını söylüyor
Surfshark VPN'den 233 $ ile hız kaybetmeden verilerinizi koruyun
Microsoft, hatalı yanlış Bitlocker şifreleme hatalarının arkasındaki hatayı düzeltiyor
Kaynak: Bleeping Computer