{"id":53634,"date":"2019-12-06T00:00:00","date_gmt":"2019-12-05T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli"},"modified":"2020-02-18T14:01:34","modified_gmt":"2020-02-18T11:01:34","slug":"uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","title":{"rendered":"Vulnerabilidad que permite infiltrarse en conexiones TCP a trav\u00e9s de t\u00faneles VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Publicado<\/a><\/noindex> t\u00e9cnica de ataque (CVE-2019-14899) que permite sustituir, modificar o insertar paquetes en las conexiones TCP que se enrutan a trav\u00e9s de t\u00faneles VPN. El problema afecta a Linux, FreeBSD, OpenBSD, Android, macOS, iOS y otros sistemas similares a Unix. Linux soporta el mecanismo rp_filter (filtrado de ruta inversa) para IPv4, cuya activaci\u00f3n en modo \u00abEstricto\u00bb neutraliza este problema. <\/p>\n

El m\u00e9todo permite la inyecci\u00f3n de paquetes a nivel de conexiones TCP que pasan a trav\u00e9s del t\u00fanel cifrado, pero no permite interferir en conexiones que aplican capas adicionales de cifrado (por ejemplo, TLS, HTTPS, SSH). Los algoritmos de cifrado utilizados en VPN no son relevantes, ya que los paquetes falsificados provienen de la interfaz externa, pero son tratados por el n\u00facleo como paquetes de la interfaz VPN. La v\u00edctima m\u00e1s probable de este ataque es la intervenci\u00f3n en conexiones HTTP no cifradas, pero no se descarta<\/a><\/noindex> y el uso del ataque para manipular las respuestas DNS. <\/p>\n

Se ha demostrado con \u00e9xito la sustituci\u00f3n de paquetes para t\u00faneles creados con OpenVPN, WireGuard e IKEv2\/IPSec. Tor no es vulnerable a este problema, ya que utiliza SOCKS para enrutar el tr\u00e1fico y est\u00e1 vinculado a la interfaz de loopback. Para IPv4, el ataque es posible si se cambia rp_filter a modo \u00abFlexible\u00bb (sysctl net.ipv4.conf.all.rp_filter = 2). Originalmente, en la mayor\u00eda de los sistemas se aplicaba el modo \u00abEstricto\u00bb, pero desde systemd 240<\/a><\/noindex>, lanzado en diciembre del a\u00f1o pasado, el modo por defecto fue cambiado a \u00abFlexible\u00bb y este cambio se reflej\u00f3 en la configuraci\u00f3n por defecto de muchas distribuciones de Linux.<\/p>\n

El mecanismo rp_filter se utiliza<\/a><\/noindex> para una verificaci\u00f3n adicional de las rutas de los paquetes para prevenir la suplantaci\u00f3n de direcciones de origen. Al configurarlo en 0, no se realiza ning\u00fan chequeo de la direcci\u00f3n de origen y cualquier paquete puede ser redirigido sin restricciones entre las interfaces de red. El modo 1 \u00abEstricto\u00bb incluye la verificaci\u00f3n de cada paquete entrante desde el exterior contra la tabla de enrutamiento, y si la interfaz de red a trav\u00e9s de la cual se recibi\u00f3 el paquete no est\u00e1 asociada con la ruta \u00f3ptima para la entrega de respuesta, se desecha el paquete. El modo 2 \u00abFlexible\u00bb suaviza la verificaci\u00f3n, permitiendo el funcionamiento al utilizar balanceadores de carga o enrutamiento asim\u00e9trico, donde
\nla ruta de respuesta puede no pasar por la interfaz de red a trav\u00e9s de la cual lleg\u00f3 el paquete entrante.<\/p>\n

En el modo \u00abFlexible\u00bb, el paquete entrante se verifica contra la tabla de enrutamiento, pero se considera aceptable si la direcci\u00f3n de origen es alcanzable a trav\u00e9s de cualquier interfaz de red disponible. El ataque propuesto se basa en que el atacante puede enviar un paquete con una direcci\u00f3n de origen suplantada, correspondiente a la interfaz VPN, y a pesar de que este paquete ingrese al sistema a trav\u00e9s de una interfaz de red externa y no a trav\u00e9s de la VPN, en el modo rp_filter \u00abFlexible\u00bb tal paquete no ser\u00e1 descartado. <\/p>\n

Para llevar a cabo el ataque, el atacante debe controlar la puerta de enlace a trav\u00e9s de la cual el usuario accede a la red (por ejemplo, a trav\u00e9s de una organizaci\u00f3n MITM, cuando la v\u00edctima se conecta a un punto de acceso inal\u00e1mbrico controlado por el atacante o a trav\u00e9s de la intrusi\u00f3n en el enrutador.<\/a><\/noindex>). Controlando la puerta de enlace a la que est\u00e1 conectado el usuario en la red, el atacante puede enviar paquetes falsos que ser\u00e1n percibidos en el contexto de la interfaz de red VPN, pero las respuestas se enviar\u00e1n a trav\u00e9s del t\u00fanel.<\/p>\n

Al generar un flujo de paquetes falsos en los que se inserta la direcci\u00f3n IP de la interfaz VPN, se intentan influir en la conexi\u00f3n establecida por el cliente, pero la influencia de estos paquetes solo se puede observar a trav\u00e9s de un an\u00e1lisis pasivo del flujo de tr\u00e1fico cifrado relacionado con la operaci\u00f3n del t\u00fanel. Para llevar a cabo el ataque, es necesario conocer la direcci\u00f3n IP de la interfaz de red del t\u00fanel asignada por el servidor VPN, as\u00ed como determinar que en ese momento hay una conexi\u00f3n activa a un determinado host a trav\u00e9s del t\u00fanel. <\/p>\n

Para determinar la IP de la interfaz de red virtual VPN, se env\u00edan paquetes SYN-ACK al sistema de la v\u00edctima, revisando secuencialmente todo el rango de direcciones virtuales (primero se revisan las direcciones utilizadas por defecto en la VPN, como en OpenVPN, donde se usa la subred 10.8.0.0\/24). La existencia de la direcci\u00f3n se puede inferir en base a la recepci\u00f3n de una respuesta con la bandera RST.<\/p>\n

Del mismo modo, se determina la existencia de una conexi\u00f3n con un sitio espec\u00edfico y el n\u00famero de puerto en el lado del cliente \u2014 al iterar sobre los n\u00fameros de puerto, se env\u00eda un paquete SYN como direcci\u00f3n de origen, en el que se sustituye la IP del sitio, y la direcci\u00f3n de destino es la IP virtual de la VPN. El puerto del servidor se puede predecir (80 para HTTP), mientras que el n\u00famero de puerto en el lado del cliente se puede calcular mediante iteraci\u00f3n, analizando para diferentes n\u00fameros la variaci\u00f3n en la intensidad de las respuestas ACK en combinaci\u00f3n con la ausencia de un paquete con la bandera RST.<\/p>\n

En esta etapa, el atacante conoce los cuatro elementos de la conexi\u00f3n (direcciones\/puertos IP de origen y direcci\u00f3n\/puerto IP de destino), pero para generar un paquete falso que el sistema de la v\u00edctima acepte, el atacante debe determinar los n\u00fameros de secuencia y confirmaci\u00f3n (seq y ack) de la conexi\u00f3n TCP. Para determinar estos par\u00e1metros, el atacante env\u00eda continuamente paquetes RST falsos, iterando sobre diferentes n\u00fameros de secuencia, hasta que capta un paquete ACK de respuesta, cuya recepci\u00f3n indica que el n\u00famero cae dentro de la ventana TCP. <\/p>\n

A continuaci\u00f3n, el atacante verifica la exactitud de la identificaci\u00f3n enviando paquetes con el mismo n\u00famero y observando la llegada de respuestas ACK, despu\u00e9s de lo cual encuentra el n\u00famero exacto de la secuencia actual. La tarea se complica porque las respuestas se env\u00edan dentro de un t\u00fanel cifrado, y su an\u00e1lisis en el flujo de tr\u00e1fico interceptado solo se puede hacer de manera indirecta. El hecho de que el cliente env\u00ede un paquete ACK dirigido al servidor VPN se determina en funci\u00f3n del tama\u00f1o y la latencia de las respuestas cifradas, correlacionando con el env\u00edo de paquetes falsos. Por ejemplo, para OpenVPN, un paquete cifrado de tama\u00f1o 79 permite inferir con precisi\u00f3n que contiene una confirmaci\u00f3n ACK.<\/p>\n

Antes de que la protecci\u00f3n contra ataques se agregue al n\u00facleo del sistema operativo, como un m\u00e9todo temporal para bloquear el problema se recomienda<\/a><\/noindex> con un filtro de paquetes en la cadena \u00abpreroute\u00bb bloquear el paso de paquetes en los que se indique como direcci\u00f3n de destino la direcci\u00f3n IP virtual del t\u00fanel.<\/p>\n

iptables -t raw -I PREROUTING ! -i wg0 -d 10.182.12.8 -m addrtype ! --src-type LOCAL -j DROP<\/p>\n

o para nftables<\/p>\n

nft add table ip raw
\n nft add chain ip raw prerouting '{ type filter hook prerouting priority 0; }'
\n nft add rule ip raw prerouting 'iifname != \"wg0\" ip daddr 10.182.12.8 fib saddr type != local drop'<\/p>\n

Para proteger el uso de t\u00faneles con direcciones IPv4, es suficiente cambiar rp_filter a modo \u00abStrict\u00bb (\"sysctl net.ipv4.conf.all.rp_filter = 1\"). Desde el lado de la VPN, el m\u00e9todo para determinar el n\u00famero de secuencia puede ser bloqueado a\u00f1adiendo un relleno extra a los paquetes cifrados, haciendo que el tama\u00f1o de todos los paquetes sea igual. <\/p>\n

<\/a><\/noindex><\/p>\n

Fuente: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043f\u0440\u043e\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 Linux, FreeBSD, OpenBSD, Android, macOS, iOS \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 Unix-\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b. Linux \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c rp_filter (reverse path filtering) \u0434\u043b\u044f IPv4, \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432 \u0440\u0435\u0436\u0438\u043c «Strict» \u043d\u0435\u0439\u0442\u0440\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u0443\u044e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443. \u041c\u0435\u0442\u043e\u0434 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53634","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vulnerabilidad que permite interrumpir conexiones TCP realizadas a trav\u00e9s de t\u00faneles VPN | ProHoster","description":"Se ha publicado una t\u00e9cnica de ataque (CVE-2019-14899) que permite suplantar, modificar o inyectar paquetes.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u043a\u043b\u0438\u043d\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-05T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53634","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 08:12:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:21:20","updated":"2026-01-24 08:12:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/53634","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=53634"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/53634\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=53634"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=53634"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=53634"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}