{"id":53634,"date":"2019-12-06T00:00:00","date_gmt":"2019-12-05T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli"},"modified":"2020-02-18T14:01:34","modified_gmt":"2020-02-18T11:01:34","slug":"uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","title":{"rendered":"Eine Schwachstelle, die das Eindringen in TCP-Verbindungen erm\u00f6glicht, die \u00fcber VPN-Tunnel erfolgen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ver\u00f6ffentlicht<\/a><\/noindex> Die Angriffstechnik (CVE-2019-14899), die es erm\u00f6glicht, Pakete in TCP-Verbindungen, die \u00fcber VPN-Tunnel geleitet werden, zu ersetzen, zu \u00e4ndern oder einzuschleusen. Das Problem betrifft Linux, FreeBSD, OpenBSD, Android, macOS, iOS und andere Unix-\u00e4hnliche Systeme. Linux unterst\u00fctzt den Mechanismus rp_filter (Reverse Path Filtering) f\u00fcr IPv4, dessen Aktivierung im «Strict»-Modus dieses Problem neutralisiert. <\/p>\n

Die Methode erm\u00f6glicht das Einf\u00fcgen von Paketen auf der Ebene von TCP-Verbindungen, die innerhalb eines verschl\u00fcsselten Tunnels verlaufen, erlaubt jedoch nicht, sich in Verbindungen einzuklinken, die zus\u00e4tzliche Verschl\u00fcsselungsschichten anwenden (zum Beispiel TLS, HTTPS, SSH). Die in VPN verwendeten Verschl\u00fcsselungsalgorithmen sind irrelevant, da die gef\u00e4lschten Pakete von der externen Schnittstelle stammen und vom Kernel als Pakete von der VPN-Schnittstelle behandelt werden. Das wahrscheinlichste Ziel des Angriffs ist die Manipulation unverschl\u00fcsselter HTTP-Verbindungen, aber es ist nicht auszuschlie\u00dfen<\/a><\/noindex> dass die Attacke auch verwendet wird, um Antworten im DNS zu manipulieren. <\/p>\n

Eine erfolgreiche Paketersetzung wurde f\u00fcr Tunnel demonstriert, die mit OpenVPN, WireGuard und IKEv2\/IPSec erstellt werden. Tor ist nicht betroffen, da es SOCKS zur Durchleitung von Datenverkehr verwendet und an das Loopback-Interface bindet. F\u00fcr IPv4 ist ein Angriff m\u00f6glich, wenn rp_filter in den «Loose»-Modus versetzt wird (sysctl net.ipv4.conf.all.rp_filter = 2). Urspr\u00fcnglich wurde in den meisten Systemen der «Strict»-Modus verwendet, aber seit systemd 240<\/a><\/noindex>, das im vergangenen Dezember ver\u00f6ffentlicht wurde, wurde der Standardmodus auf «Loose» ge\u00e4ndert, und diese \u00c4nderung spiegelt sich in den Standardeinstellungen vieler Linux-Distributionen wider.<\/p>\n

Der Mechanismus rp_filter angewendet<\/a><\/noindex> Zur zus\u00e4tzlichen \u00dcberpr\u00fcfung der Pfade der eingehenden Pakete, um Spoofing der Quelladresse zu verhindern. Wenn auf 0 gesetzt, erfolgt keine \u00dcberpr\u00fcfung der Quelladresse, und jedes Paket kann ohne Einschr\u00e4nkungen zwischen Netzwerkschnittstellen umgeleitet werden. Der Modus 1 «Strict» aktiviert die Pr\u00fcfung jedes eingehenden Pakets von au\u00dfen auf \u00dcbereinstimmung mit der Routingtabelle, und wenn die Netzwerkschnittstelle, \u00fcber die das Paket empfangen wurde, nicht mit der optimalen Route f\u00fcr die Antwort verbunden ist, wird das Paket verworfen. Der Modus 2 «Loose» lockert die Pr\u00fcfung, um den Betrieb bei Verwendung von Lastenausgleich oder asymmetrischer Routenf\u00fchrung zuzulassen, bei der
\nDer Antwortpfad kann nicht \u00fcber das Netzwerk-Interface f\u00fchren, \u00fcber das das eingehende Paket empfangen wurde.<\/p>\n

Im Modus «Loose» wird das eingehende Paket auf \u00dcbereinstimmung mit der Routingtabelle gepr\u00fcft, gilt jedoch als zul\u00e4ssig, wenn die Quelladresse \u00fcber eine beliebige vorhandene Netzwerkschnittstelle erreichbar ist. Der vorgeschlagene Angriff beruht darauf, dass der Angreifer ein Paket mit einer gef\u00e4lschten Quelladresse senden kann, die dem VPN-Interface entspricht, und obwohl dieses Paket \u00fcber eine externe Netzwerkschnittstelle und nicht \u00fcber das VPN in das System gelangt, wird ein solches Paket im rp_filter «Loose» Modus nicht verworfen. <\/p>\n

Um einen Angriff durchzuf\u00fchren, muss der Angreifer das Gateway kontrollieren, \u00fcber welches der Benutzer ins Netzwerk gelangt (zum Beispiel durch eine MITM-Organisation, wenn das Opfer mit einem vom Angreifer kontrollierten WLAN-Zugangspunkt verbunden ist oder durch Router-Hack<\/a><\/noindex>). Indem er das Gateway kontrolliert, \u00fcber das der Benutzer mit dem Netzwerk verbunden ist, kann der Angreifer gef\u00e4lschte Pakete senden, die im Kontext des VPN-Netzwerk-Interfaces als g\u00fcltig angesehen werden, aber die Antworten werden \u00fcber den Tunnel geleitet.<\/p>\n

Durch die Generierung eines Stroms gef\u00e4lschter Pakete, in denen die IP-Adresse des VPN-Interfaces eingesetzt wird, werden Versuche unternommen, die vom Client hergestellte Verbindung zu beeinflussen. Die Auswirkungen dieser Pakete k\u00f6nnen jedoch nur durch eine passive Analyse des verschl\u00fcsselten Datenstroms, der mit dem Betrieb des Tunnels verbunden ist, beobachtet werden. F\u00fcr den Angriff ist es notwendig, die vom VPN-Server zugewiesene IP-Adresse des Tunnel-Netzwerk-Interfaces zu ermitteln und festzustellen, dass derzeit \u00fcber den Tunnel eine aktive Verbindung zu einem bestimmten Host besteht. <\/p>\n

Zur Bestimmung der IP-Adresse des virtuellen Netzwerks-Interfaces VPN wird das System des Opfers durch das Senden von SYN-ACK-Paketen abgefragt, wobei der gesamte Bereich virtueller Adressen schrittweise durchlaufen wird (zun\u00e4chst werden die in VPN standardm\u00e4\u00dfig verwendeten Adressen durchlaufen, z. B. in OpenVPN wird das Subnetz 10.8.0.0\/24 verwendet). Ob eine Adresse existiert, kann anhand des Eintreffens einer Antwort mit dem RST-Flag beurteilt werden.<\/p>\n

Auf \u00e4hnliche Weise wird die Verbindung zu einer bestimmten Website und die Portnummer auf der Client-Seite bestimmt \u2013 indem die Portnummern durchgegangen werden, wird ein SYN-Paket mit der IP-Adresse der Website als Quelladresse und der virtuellen IP der VPN als Zieladresse gesendet. Der Serverport kann vorausgesagt werden (80 f\u00fcr HTTP), w\u00e4hrend die Portnummer auf der Client-Seite durch Ausprobieren ermittelt werden kann, indem die \u00c4nderung der Intensit\u00e4t der ACK-Antworten in Verbindung mit dem Fehlen eines Pakets mit dem RST-Flag analysiert wird.<\/p>\n

In diesem Stadium kennt der Angreifer alle vier Elemente der Verbindung (Quell-IP-Adresse\/Port und Ziel-IP-Adresse\/Port), aber um ein gef\u00e4lschtes Paket zu generieren, das vom Zielsystem akzeptiert wird, muss der Angreifer die Sequenz- und Best\u00e4tigungsnummern (seq und ack) der TCP-Verbindung bestimmen. Um diese Parameter zu ermitteln, sendet der Angreifer kontinuierlich gef\u00e4lschte RST-Pakete, w\u00e4hrend er verschiedene Sequenznummern durchl\u00e4uft, bis er ein Antwort-ACK-Paket erh\u00e4lt, dessen Empfang anzeigt, dass die Nummer innerhalb des TCP-Fensters liegt. <\/p>\n

Dann pr\u00e4zisiert der Angreifer die Richtigkeit der Bestimmung, indem er Pakete mit derselben Nummer sendet und die ACK-Antworten beobachtet, woraufhin er die genaue aktuelle Sequenznummer ermittelt. Die Aufgabe wird dadurch kompliziert, dass die Antworten innerhalb eines verschl\u00fcsselten Tunnels gesendet werden und ihre Anwesenheit im abgefangenen Datenstrom nur indirekt analysiert werden kann. Die Tatsache, dass ein an den VPN-Server adressiertes ACK-Paket vom Client gesendet wird, wird anhand der Gr\u00f6\u00dfe und der Verz\u00f6gerung der verschl\u00fcsselten Antworten bestimmt, die mit dem Versand gef\u00e4lschter Pakete korrelieren. Zum Beispiel erlaubt ein verschl\u00fcsseltes Paket mit einer Gr\u00f6\u00dfe von 79 f\u00fcr OpenVPN eine genaue Schlussfolgerung, dass darin ein ACK-Best\u00e4tigung enthalten ist.<\/p>\n

Bevor ein Schutz gegen den Angriff in den Kern des Betriebssystems integriert wird, kann vor\u00fcbergehend folgendermassen die Problematik blockiert werden. wird empfohlen<\/a><\/noindex> Durch die Verwendung eines Paketfilters in der Kette \u201epreroute\u201c wird das Durchleiten von Paketen blockiert, bei denen die Zieladresse die virtuelle IP-Adresse des Tunnels ist.<\/p>\n

iptables -t raw -I PREROUTING ! -i wg0 -d 10.182.12.8 -m addrtype ! --src-type LOCAL -j DROP<\/p>\n

oder f\u00fcr nftables<\/p>\n

nft add table ip raw
\n nft add chain ip raw prerouting '{ type filter hook prerouting priority 0; }'
\n nft add rule ip raw prerouting 'iifname != \"wg0\" ip daddr 10.182.12.8 fib saddr type != local drop'<\/p>\n

Zum Schutz bei der Verwendung von Tunneln mit IPv4-Adressen reicht es aus, rp_filter in den \"Strict\"-Modus zu versetzen (\"sysctl net.ipv4.conf.all.rp_filter = 1\"). Auf der VPN-Seite kann die Methode zur Bestimmung der Sequenznummer blockiert werden, indem zu den verschl\u00fcsselten Paketen F\u00fclldaten hinzugef\u00fcgt werden, die die Gr\u00f6\u00dfe aller Pakete identisch machen. <\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043f\u0440\u043e\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 Linux, FreeBSD, OpenBSD, Android, macOS, iOS \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 Unix-\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b. Linux \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c rp_filter (reverse path filtering) \u0434\u043b\u044f IPv4, \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432 \u0440\u0435\u0436\u0438\u043c «Strict» \u043d\u0435\u0439\u0442\u0440\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u0443\u044e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443. \u041c\u0435\u0442\u043e\u0434 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53634","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Eine Schwachstelle, die das Eindringen in TCP-Verbindungen \u00fcber VPN-Tunnel erm\u00f6glicht | ProHoster","description":"Es wurde eine Angriffstechnik (CVE-2019-14899) ver\u00f6ffentlicht, die es erm\u00f6glicht, Pakete zu ersetzen, zu ver\u00e4ndern oder einzuschleusen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u043a\u043b\u0438\u043d\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-05T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53634","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 08:12:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:21:20","updated":"2026-01-24 08:12:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/53634","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=53634"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/53634\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=53634"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=53634"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=53634"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}