Pesquisadores detalharam uma técnica de bypass de Rede Virtual Privada (VPN) chamada de TunnelVision que permite que atores de ameaças espionem o tráfego de rede da vítima estando apenas na mesma rede local.
O método de “desmascaramento” recebeu o identificador CVE CVE-2024-3661 (pontuação CVSS: 7,6). Ele impacta todos os sistemas operacionais que implementam um cliente DHCP e têm suporte para rotas de opção 121 do DHCP.
Em seu cerne, o TunnelVision envolve o encaminhamento de tráfego sem criptografia por meio de uma VPN por meio de um servidor DHCP configurado por um atacante usando a opção de rota estática sem classes 121 para definir uma rota na tabela de roteamento do usuário VPN.
Ele também decorre do fato de que o protocolo DHCP, por design, não autentica tais mensagens de opção, expondo-as à manipulação.
O DHCP é um protocolo cliente/servidor que fornece automaticamente a um host do Protocolo de Internet (IP) seu endereço IP e outras informações de configuração relacionadas, como a máscara de sub-rede e o gateway padrão para acessar a rede e seus recursos.
Além disso, ajuda a configurar de forma confiável os endereços IP por meio de um servidor que mantém uma pool de endereços IP e atribui um endereço a qualquer cliente habilitado para DHCP quando inicia na rede.
Porque esses endereços IP são dinâmicos (ou seja, alugados) em vez de estáticos (ou seja, atribuídos permanentemente), os endereços que não estão mais em uso são automaticamente devolvidos à pool para realocação.
A vulnerabilidade, em suma, torna possível para um atacante com a capacidade de enviar mensagens DHCP manipular rotas para redirecionar o tráfego da VPN, permitindo-lhes ler, interromper ou possivelmente modificar o tráfego de rede que se esperava que fosse protegido pela VPN.
“Porque essa técnica não depende da exploração de tecnologias VPN ou protocolos subjacentes, ela funciona completamente independentemente do provedor ou implementação de VPN”, disseram os pesquisadores do Grupo de Segurança Leviathan, Dani Cronce e Lizzie Moratti.
“Nossa técnica é executar um servidor DHCP na mesma rede de um usuário de VPN direcionado e também configurar nossa configuração de DHCP para usar ele próprio como gateway. Quando o tráfego atinge nosso gateway, usamos regras de encaminhamento de tráfego no servidor DHCP para passar o tráfego para um gateway legítimo enquanto espionamos nele.”
Em outras palavras, o TunnelVision engana o usuário de VPN a acreditar que suas conexões estão seguras e roteadas por meio de um túnel criptografado, quando na realidade foi redirecionado para o servidor do atacante para que possa ser potencialmente inspecionado.
No entanto, para desmascarar com sucesso o tráfego da VPN, o cliente DHCP do host direcionado deve implementar a opção DHCP 121 e aceitar um contrato de arrendamento DHCP do servidor controlado pelo atacante.
