Araştırmacılar, aynı yerel ağda bulunan saldırganlar tarafından VPN kullanıcılarının trafiğini engellemek ve gözetlemek için kullanılabilecek, TunnelVision adı verilen ve benzersiz bir şekilde CVE-2024-3661 olarak tanımlanan yeni bir saldırı yöntemini gün ışığına çıkardı.
Leviathan Güvenlik araştırmacıları Dani Cronce ve Lizzie Moratti, “Bu, gazeteciler ve siyasi muhalifler gibi kendilerini güvende tutmak için VPN’lere güvenen kişiler için özellikle tehlikelidir” dedi.
Saldırı normal VPN kullanıcısı tarafından algılanamaz ve bu tekniği yıllardır gizlice kullanan kişi veya kuruluşların olması mümkündür.
“Neyse ki, ticari VPN kullanan çoğu kullanıcı çoğunlukla HTTPS olan (aslında yaklaşık %85) web trafiği gönderiyor. Araştırmacılar, HTTPS trafiğinin TunnelVision kullanan saldırganlara anlamsız gibi göründüğünü, ancak bu anlamsız sözleri kime gönderdiğinizi bildiklerini ve bunun bir sorun olabileceğini belirtti.
“Bir web sitesi HTTP kullanıyorsa, söylediğiniz her şeyin yanı sıra bunu kime söylediğinizi de görmek mümkün hale gelir.”
TunnelVision (CVE-2024-3661) saldırısı nasıl çalışır?
TunnelVision tekniğini kullanan saldırganlar, Dinamik Ana Bilgisayar Yapılandırma Protokolü’nün (DHCP) yerleşik bir özelliğinden etkili bir şekilde yararlanır: DHCP seçeneği 121; bu, bir DHCP sunucusunun, VPN yazılımının yönlendirme tabloları için sınıfsız statik yollar sağlamasına olanak tanır.
Kullanıcıların yerel ağında hileli bir DHCP sunucusu kurarak ve hedeflenen ana bilgisayarı (VPN istemcisi ile) buradan geçici bir IP adresi kabul etmeye zorlayarak kullanıcının VPN trafiğini yerel ağa zorlarlar.
“Tekniğimiz, hedeflenen VPN kullanıcısıyla aynı ağ üzerinde bir DHCP sunucusu çalıştırmak ve ayrıca DHCP yapılandırmamızı kendisini bir ağ geçidi olarak kullanacak şekilde ayarlamaktır. Araştırmacılar, trafik ağ geçidimize ulaştığında, trafiği meşru bir ağ geçidine geçirmek için DHCP sunucusundaki trafik yönlendirme kurallarını kullanırız,” diye açıkladı araştırmacılar.
Ayrıca saldırının bir video demosunu ve farklı senaryolarda (güvenliği ihlal edilmiş DHCP sunucusu/erişim noktası, temel altyapıya sahip olan saldırgan, “kötü ikiz” erişim noktası) çalışabilecek laboratuvar kurulum kodunu paylaştılar.
TunnelVision saldırılarını engellemek için ne yapılabilir?
Araştırmacılar, TunnelVision’ın, trafiği sızdırmak için RFC1918 olmayan IP aralıklarını kötüye kullanmaya veya VPN istemcisini bir IP adresi için yönlendirme kuralı istisnası eklemesi için kandırmak amacıyla DNS sahtekarlığına dayanan, daha önce gösterilen TunnelCrack’ten daha genel bir saldırı tekniği olduğunu belirtti. “DHCP üzerinden rotaları zorlamanın, saldırganın aynı görüş noktasından önemli ölçüde daha yüksek bir etkisi var” diye belirttiler.
TunnelVision saldırıları DHCP’nin, yönlendirme tablolarının veya VPN’lerin güvenlik özelliklerini ihlal etmez.
“Tekniğimizde VPN’in kriptografik olarak güvenli protokolünü bozmadık ve VPN hala tamamen işlevsel. Cronce ve Moratti, saldırganın bunun yerine hedef kullanıcıyı VPN tünelini kullanmamaya zorladığını belirtti.
“Bunu bir teknik olarak sınıflandırsak da sınıflandırmasak da, VPN kullanıcıları, bir VPN’in kendilerini yerel ağlarındaki saldırganlardan koruyabileceğine dair güvencelere güvendiklerinde etkileniyorlar.”
“Güvenlik açığı”, RFC spesifikasyonuna göre bir DHCP istemcisi uygulayan ve DHCP seçenek 121 yollarını destekleyen işletim sistemlerini etkiler. Bu liste Windows, Linux, iOS ve macOS’u içerir ancak DHCP seçenek 121’i desteklemediğinden Android’i kapsamaz.
Yönlendirme kurallarına dayanan çoğu (hepsi olmasa da) VPN çözümü etkilenir, ancak bazıları, kullanıcıların VPN olmayan arayüzlere olan trafiğini engelleyen güvenlik duvarı kuralları uygulayarak sorunu hafifletir.
VPN sağlayıcıları ve kullanıcıları için tavsiyeler
Araştırmacılar şu anda mevcut olan düzeltmeleri ve hafifletici önlemleri özetledi ve VPN sağlayıcılarını, işletim sistemi bakımcılarını ve işletmeleri bunları uygulamaya çağırdı.
“Kurumsal VPN’lerin kafeler, oteller veya havaalanları gibi alanlarda kullanılması yaygındır. Ağ yöneticilerinin çalışanlara bu tür yerlerden çalışmanın risk taşıdığı ve mümkün olduğunca kaçınılması gerektiği konusunda bilgi vermesi gerekiyor” dedi.
“Böyle bir politika pratik değilse, yöneticiler, azaltımları veya düzeltmeleri mümkün kılan (…) VPN’lerin kullanılmasını tavsiye etmelidir. Bazı alternatifler, güvenilir bir etkin nokta kullanmak ve ardından VPN’ye bağlanmak olabilir. Son olarak, VPN’i sanallaştırılmış bir DHCP sunucusundan kira alan bir VM’nin içinde çalıştırmak, yerel ağ DHCP sunucusunun rotaları tamamen kurmasını engelleyecektir.”
Benzer şekilde, tüketici sitesindeki VPN kullanıcıları, güvenilmeyen (genel Wi-Fi gibi) ağları kullanmamayı, VPN’leriyle bir erişim noktası kullanmamayı veya VPN’yi köprülü ağ bağdaştırıcısı olmayan bir sanal makine içinde kullanmamayı dikkate almalıdır.