{"id":53634,"date":"2019-12-06T00:00:00","date_gmt":"2019-12-05T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli"},"modified":"2020-02-18T14:01:34","modified_gmt":"2020-02-18T11:01:34","slug":"uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","title":{"rendered":"Vulnerabilit\u00e0 che consente di intercettare le connessioni TCP effettuate attraverso tunnel VPN.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pubblicato<\/a><\/noindex> tecniche di attacco (CVE-2019-14899) che consentono di sostituire, modificare o inserire pacchetti nelle connessioni TCP instradate attraverso tunnel VPN. Il problema riguarda Linux, FreeBSD, OpenBSD, Android, macOS, iOS e altri sistemi simili a Unix. Linux supporta il meccanismo rp_filter (reverse path filtering) per IPv4, il cui attivazione in modalit\u00e0 'Strict' neutralizza questo problema. <\/p>\n

Il metodo consente la sostituzione dei pacchetti a livello delle connessioni TCP che transitano all'interno di un tunnel crittografato, ma non permette di infiltrarsi in connessioni che utilizzano ulteriori strati di crittografia (ad esempio, TLS, HTTPS, SSH). Gli algoritmi di crittografia utilizzati nelle VPN non hanno importanza, poich\u00e9 i pacchetti falsi provengono dall'interfaccia esterna e vengono elaborati dal kernel come pacchetti provenienti dall'interfaccia VPN. L'obiettivo pi\u00f9 probabile dell'attacco \u00e8 l'interferenza con le connessioni HTTP non crittografate, ma non si esclude<\/a><\/noindex> e l'uso dell'attacco per manipolare le risposte DNS. <\/p>\n

La sostituzione dei pacchetti \u00e8 stata dimostrata per i tunnel creati utilizzando OpenVPN, WireGuard e IKEv2\/IPSec. Tor non \u00e8 vulnerabile a questo problema, poich\u00e9 utilizza SOCKS per instradare il traffico e si collega all'interfaccia loopback. Per IPv4, l'attacco \u00e8 possibile se si imposta rp_filter in modalit\u00e0 'Loose' (sysctl net.ipv4.conf.all.rp_filter = 2). Inizialmente, la maggior parte dei sistemi utilizzava la modalit\u00e0 'Strict', ma a partire da systemd 240<\/a><\/noindex>, rilasciato lo scorso dicembre, la modalit\u00e0 di funzionamento predefinita \u00e8 stata sostituita da 'Loose' e questa modifica si riflette nelle impostazioni predefinite di molte distribuzioni Linux.<\/p>\n

Meccanismo rp_filter applicato<\/a><\/noindex> per una verifica aggiuntiva dei percorsi dei pacchetti per prevenire lo spoofing dell'indirizzo sorgente. Se impostato a 0, il controllo dell'indirizzo sorgente non viene eseguito e ogni pacchetto pu\u00f2 essere reindirizzato senza restrizioni tra le interfacce di rete. La modalit\u00e0 1 'Strict' include il controllo di ogni pacchetto in entrata per verificarne la corrispondenza con la tabella di routing, e se l'interfaccia di rete attraverso cui \u00e8 stato ricevuto il pacchetto non \u00e8 associata al percorso ottimale per la risposta, il pacchetto viene scartato. La modalit\u00e0 2 'Loose' allenta il controllo per consentire il funzionamento in caso di bilanciatori di carico o instradamento asimmetrico, dove
\nil percorso di risposta potrebbe non passare attraverso l'interfaccia di rete tramite la quale \u00e8 stato ricevuto il pacchetto in ingresso.<\/p>\n

In modalit\u00e0 'Loose', il pacchetto in entrata viene controllato per verificarne la corrispondenza con la tabella di routing, ma \u00e8 considerato valido se l'indirizzo sorgente \u00e8 raggiungibile attraverso qualsiasi interfaccia di rete disponibile. L'attacco proposto si basa sul fatto che l'attaccante pu\u00f2 inviare un pacchetto con un indirizzo sorgente contraffatto, corrispondente all'interfaccia VPN, e nonostante questo pacchetto arrivi al sistema attraverso un'interfaccia di rete esterna, anzich\u00e9 attraverso la VPN, in modalit\u00e0 rp_filter 'Loose', tale pacchetto non sar\u00e0 scartato. <\/p>\n

Per eseguire l'attacco, l'aggressore deve controllare il gateway attraverso cui l'utente accede alla rete (ad esempio, tramite un attacco MITM, collegando la vittima a un punto di accesso Wi-Fi controllato dall'attaccante o attraverso la compromissione del router<\/a><\/noindex>). Controllando il gateway attraverso il quale si connette alla rete l'utente, l'attaccante pu\u00f2 inviare pacchetti fasulli che saranno interpretati nel contesto dell'interfaccia VPN, ma le risposte verranno instradate attraverso il tunnel.<\/p>\n

Generando un flusso di pacchetti fittizi, in cui viene inserito l'indirizzo IP dell'interfaccia VPN, si tenta di influenzare la connessione stabilita dal cliente, ma si pu\u00f2 osservare l'impatto di questi pacchetti solo attraverso un'analisi passiva del flusso di traffico crittografato correlato al funzionamento del tunnel. Per effettuare un attacco, \u00e8 necessario conoscere l'indirizzo IP dell'interfaccia di rete del tunnel assegnato dal server VPN, nonch\u00e9 determinare che al momento attraverso il tunnel \u00e8 attiva una connessione a un determinato host. <\/p>\n

Per determinare l'IP dell'interfaccia di rete virtuale VPN si inviano pacchetti SYN-ACK al sistema della vittima, esaminando sequenzialmente l'intero intervallo degli indirizzi virtuali (in particolare, vengono esaminati prima gli indirizzi utilizzati di default nel VPN, ad esempio, in OpenVPN si utilizza la sottorete 10.8.0.0\/24). L'esistenza di un indirizzo pu\u00f2 essere dedotta in base alla ricezione di una risposta con il flag RST.<\/p>\n

Allo stesso modo si determina la presenza di una connessione a un determinato sito e numero di porta sul lato cliente: scorrendo i numeri di porta viene inviato un pacchetto SYN con un indirizzo sorgente in cui \u00e8 stato inserito l'IP del sito, e l'indirizzo di destinazione \u00e8 l'IP virtuale della VPN. La porta del server pu\u00f2 essere prevista (80 per HTTP), mentre il numero di porta sul lato cliente pu\u00f2 essere calcolato per tentativi, analizzando per diversi numeri il cambiamento dell'intensit\u00e0 delle risposte ACK in combinazione con l'assenza di pacchetti con il flag RST.<\/p>\n

In questa fase, l'attaccante conosce tutti e quattro gli elementi della connessione (indirizzi\/porte IP sorgente e indirizzi\/porte IP di destinazione), ma per generare un pacchetto fittizio che il sistema della vittima percepir\u00e0, l'attaccante deve determinare i numeri di sequenza e di conferma (seq e ack) della connessione TCP. Per determinare questi parametri, l'attaccante invia continuamente pacchetti RST falsi, esplorando diversi numeri di sequenza, finch\u00e9 non riceve un pacchetto ACK di risposta, il cui arrivo indica che il numero rientra nella finestra TCP. <\/p>\n

Successivamente, l'attaccante verifica la correttezza della definizione inviando pacchetti con lo stesso numero e osservando l'arrivo delle risposte ACK, dopodich\u00e9 determina il numero esatto della sequenza attuale. La situazione \u00e8 complicata dal fatto che le risposte vengono inviate all'interno di un tunnel crittografato e la loro presenza nel flusso di traffico intercettato pu\u00f2 essere analizzata solo con metodi indiretti. Il fatto che il cliente invii un pacchetto ACK indirizzato al server VPN \u00e8 determinato dalla dimensione e dalla latenza delle risposte crittografate, che correlano all'invio di pacchetti falsi. Ad esempio, per OpenVPN, un pacchetto crittografato di dimensione 79 permette di dedurre con certezza che al suo interno si trova una conferma ACK.<\/p>\n

Prima che la protezione contro gli attacchi venga aggiunta al kernel del sistema operativo, come metodo temporaneo per bloccare il problema si raccomanda<\/a><\/noindex> utilizzando un filtro dei pacchetti nella catena 'preroute' per bloccare il passaggio dei pacchetti in cui l'indirizzo di destinazione \u00e8 l'IP virtuale del tunnel.<\/p>\n

iptables -t raw -I PREROUTING ! -i wg0 -d 10.182.12.8 -m addrtype ! --src-type LOCAL -j DROP<\/p>\n

oppure per nftables<\/p>\n

nft add table ip raw
\n nft add chain ip raw prerouting '{ type filter hook prerouting priority 0; }'
\n nft add rule ip raw prerouting 'iifname != 'wg0' ip daddr 10.182.12.8 fib saddr type != local drop'<\/p>\n

Per proteggere l'uso di tunnel con indirizzi IPv4, \u00e8 sufficiente impostare rp_filter in modalit\u00e0 'Strict' ('sysctl net.ipv4.conf.all.rp_filter = 1'). Dal lato VPN, il metodo di determinazione del numero di sequenza pu\u00f2 essere bloccato aggiungendo un riempimento ai pacchetti crittografati, rendendo la dimensione di tutti i pacchetti uguale. <\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043f\u0440\u043e\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 Linux, FreeBSD, OpenBSD, Android, macOS, iOS \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 Unix-\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b. Linux \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c rp_filter (reverse path filtering) \u0434\u043b\u044f IPv4, \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432 \u0440\u0435\u0436\u0438\u043c «Strict» \u043d\u0435\u0439\u0442\u0440\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u0443\u044e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443. \u041c\u0435\u0442\u043e\u0434 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53634","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vulnerabilit\u00e0 che consente di infiltrarsi nelle connessioni TCP effettuate tramite tunnel VPN | ProHoster","description":"\u00c8 stata pubblicata una tecnica di attacco (CVE-2019-14899) che consente di sostituire, modificare o inserire pacchetti in.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u043a\u043b\u0438\u043d\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432.","og:url":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-05T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53634","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 08:12:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:21:20","updated":"2026-01-24 08:12:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53634","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=53634"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53634\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=53634"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=53634"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=53634"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}