Breaking News

Lỗ hổng bảo mật mới trên Linux có thể cho phép tin tặc chiếm quyền kết nối VPN mã hoá

Một nhóm các nhà nghiên cứu bảo mật mới đây đã tiết lộ một lỗ hổng bảo mật nghiêm trọng mới, ảnh hưởng đến hầu hết các hệ điều hành trên nền Linux và Unix bao gồm FreeBSD, OpenBSD, MacOS, iOS và Android, có thể cho phép kẻ tấn công từ xa theo dõi và giả mạo các kết nối VPN được mã hoá.

Lỗ hổng bảo mật mới trên Linux có thể cho phép tin tặc chiếm quyền kết nối VPN mã hoá - CyberSec365.org
Lỗ hổng bảo mật mới trên Linux có thể cho phép tin tặc chiếm quyền kết nối VPN mã hoá - CyberSec365.org
Theo đó, lỗ hổng bảo mật này (có mã hiệu CVE-2019-14899) nằm trong network stack của nhiều hệ điều hành khác nhau và có thể được khai thác ở cả hai luồng kết nối TCP IPv4 và TCP IPv6.
Do lỗ hổng bảo mật này hoàn toàn không phụ thuộc vào công nghệ VPN mà người dùng sử dụng, các cuộc tấn công vào lỗ hổng này nhắm vào các giao thức VPN được triển khai rộng rãi trên OpenVPN, WireGuard, IKEv2/IPSEC,...
Theo các nhà nghiên cứu, lỗ hổng bảo mật này có thể bị tin tặc khai thác và kiểm soát các điẻm truy cập hoặc kết nối với mạng VPN của nạn nhân bằng cách gởi các gói tin đến các thiết bị được nhắm mục tiêu và sau đó theo dõi các gói tin trả lời từ chúng. Các nhà nghiên cứu còn khẳng định rằng, các biến thể cho mỗi hệ điều hành có thể khác nhau, nhưng lỗ hổng này hoàn toàn có thể cho phép kẻ tấn công:

  • Xác định địa chỉ IP ảo của nạn nhân được cấp bởi máy chủ VPN
  • Xác định xem nạn nhân có kết nối với một website nhất định không
  • Xác định chính xác số seq và ack bằng cách kiểm tra kích thước các gói tin
  • Tiêm dữ liệu vào luồng TCP và tiến hành kết nối từ xa.





“Địa chỉ IP ảo của nạn nhân có thể được xác định dễ dàng bằng cách gởi các gói tin SYN-ACK đến thiết bị của nạn nhân thông qua các gói tin broadcast trên toàn mạng IP ảo.” Các nhà nghiên cứu cho biết thêm. “Nếu gói tin SYN-ACK được gởi đến đúng thiết bị nạn nhân, thiết bị sẽ phản hồi lại bằng RST. Nếu không đúng, thiết bị sẽ không phản hồi.”
Trong khi giải thích về các biến thể trong hành vi của các hệ điều hành khác nhau, các nhà nghiên cứu cho biết các cuộc tấn công không hoạt động đối với các thiết bị macOS/iOS theo cách trên. Thay vào đó, kẻ tấn công cần sử dụng “các port được mở sẵn trên máy chủ Apple để xác định địa chỉ IP ảo”. Trong thử nghiệm của mình, các nhà nghiên cứu đã sử dụng “port 5223, được Apple sử dụng cho iCloud, iMessage, Facetime, Game Center, Photo Stream và Push Notification,...”
Được biết, các nhà nghiên cứu đã thử nghiệm và khai thác thành công lỗ hổng bảo mật này trên các hệ điều hành sau đây:
  • Ubuntu 19.10 (systemd)
  • Fedora  (systemd)
  • Debian 10.2  (systemd)
  • Arch 2019.05  (systemd)
  • Manjaro 18.1.1  (systemd)
  • Devuan (sysV init)
  • MX Linux 19 (Mepis+anytiX)
  • Void Linux (runit)
  • Slackware 14.2 (rc.d)
  • Deepin (rc.d)
  • FreeBSD  (rc.d)
  • OpenBSD  (rc.d)





Hầu hết các bản phân phối của Linux đều dễ dàng bị tấn công bởi lỗ hổng bảo mật này. Đặc biệt lkaf các phiên bản Linux sử dụng systemd được phát hành sau ngày 28/11/2018.
Hiện tại, để giảm thiểu tác hại của lỗ hổng này, các nhà nghiên cứu đề nghị các quản trị viên bật tính năng reverse path filtering, implement bogon filtering và mã hoá các thông tin kích thước cũng như thời gian của gói tin để ngăn chặn kẻ tấn công thực hiện các biện pháp suy luận.
Mặc dù các nhà nghiên cứu vẫn chưa tiết lỗ bất kỳ chi tiết nào về các lỗ hổng, họ vẫn đang lên kế hoạch xuất bản một nghiên cứu chuyên sâu về lỗ hổng này và các hệ luỵ liên quan của nó, ngay sau khi các nhà cung cấp bị ảnh hưởng bao gồm Systemd, Google, Apple, OpenVPN, WireGuard và các nhà phân phối Linux phát hành bản vá cho lỗ hổng này
Đại Phát (Theo THN)


Không có nhận xét nào