{"id":53634,"date":"2019-12-06T00:00:00","date_gmt":"2019-12-05T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli"},"modified":"2020-02-18T14:01:34","modified_gmt":"2020-02-18T11:01:34","slug":"uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","title":{"rendered":"Kwetsbaarheid die in TCP-verbindingen kan inbreken die via VPN-tunnels worden gemaakt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Geplaatst<\/a><\/noindex> Aanvalstechniek (CVE-2019-14899) die het mogelijk maakt om pakketten in TCP-verbindingen te vervalsen, te wijzigen of in te voegen die via VPN-tunnels worden gestuurd. Het probleem betreft Linux, FreeBSD, OpenBSD, Android, macOS, iOS en andere Unix-achtige systemen. Linux ondersteunt het rp_filter-mechanisme (reverse path filtering) voor IPv4, waarvan het inschakelen in 'Strict'-modus dit probleem neutraliseert. <\/p>\n

De methode maakt het mogelijk om pakketten te vervangen op het niveau van TCP-verbindingen die binnen een versleutelde tunnel verlopen, maar staat niet toe om zich in verbindingen te mengen die extra versleutelingslagen gebruiken (zoals TLS, HTTPS, SSH). De toegepaste versleutelingstechnieken in VPN's zijn niet van belang, aangezien de vervalste pakketten van de externe interface komen, maar door de kernel worden behandeld als pakketten van de VPN-interface. Het meest waarschijnlijke doel van de aanval is het ingrijpen in onvercijferde HTTP-verbindingen, maar het uitsluiten<\/a><\/noindex> van het gebruik van de aanval voor manipulatie van DNS-antwoorden. <\/p>\n

Er is met succes een vervalsing van pakketten aangetoond voor tunnels die worden gecre\u00eberd met OpenVPN, WireGuard en IKEv2\/IPSec. Tor is niet vatbaar voor het probleem, omdat het SOCKS gebruikt voor het doorsturen van verkeer en aan binding aan de loopback-interface. Voor IPv4 is een aanval mogelijk als rp_filter wordt ingesteld in 'Loose'-modus (sysctl net.ipv4.conf.all.rp_filter = 2). Aanvankelijk werd in de meeste systemen de 'Strict'-modus gebruikt, maar vanaf systemd 240<\/a><\/noindex>, uitgebracht in december vorig jaar, is de standaardmodus gewijzigd naar 'Loose' en deze wijziging heeft invloed gehad op de standaardinstellingen van veel Linux-distributies.<\/p>\n

Het rp_filter-mechanisme toegepast<\/a><\/noindex> voor aanvullende verificatie van de route waarlangs pakketten passeren om adresspoofing te voorkomen. Wanneer ingesteld op 0 vindt er geen verificatie van het bronadres plaats en kan elk pakket zonder beperkingen tussen netwerkinterfaces worden doorgestuurd. Modus 1 'Strict' vereist controle van elk inkomend pakket van buitenaf op overeenstemming met de routingtabel, en als de netwerkinterface waarvan het pakket is ontvangen niet is gekoppeld aan de optimale route voor het verzenden van een antwoord, wordt het pakket weggegooid. Modus 2 'Loose' versoepelt de controle om het functioneren van load balancers of asymmetrische routering mogelijk te maken, waarbij
\nde route voor de respons mogelijk niet via die netwerkinterface loopt waarmee het binnenkomende pakket is ontvangen.<\/p>\n

In 'Loose'-modus wordt het binnenkomende pakket gecontroleerd op overeenstemming met de routingtabel, maar wordt als geldig beschouwd als het bronadres bereikbaar is via een van de beschikbare netwerkinterfaces. De voorgestelde aanval is gebaseerd op het feit dat de aanvaller een pakket kan verzenden met een vervalst bronadres dat overeenkomt met de VPN-interface, en hoewel dit pakket het systeem via een externe netwerkinterface binnenkomt en niet via de VPN, zal het in de 'Loose'-modus van rp_filter niet worden weggegooid. <\/p>\n

Om de aanval uit te voeren, moet de aanvaller de gateway beheersen waaronder de gebruiker het netwerk binnengaat (bijvoorbeeld via een MITM-organisatie, wanneer het slachtoffer zich verbindt met een door de aanvaller beheerde draadloze toegangspunt of door het hacken van de router<\/a><\/noindex>). Door de gateway te controleren waaronder de gebruiker met het netwerk is verbonden, kan de aanvaller vervalste pakketten verzenden die worden waargenomen in de context van de VPN-interface, maar de antwoorden worden via de tunnel verzonden.<\/p>\n

Door een stroom van vervalste pakketten te genereren, waarin het IP-adres van de VPN-interface wordt ingevoerd, worden pogingen ondernomen om invloed uit te oefenen op de verbinding die door de klant is ingesteld, maar de invloed van deze pakketten kan alleen worden waargenomen door passieve analyse van de versleutelde stroom verkeer dat verband houdt met de werking van de tunnel. Voor het uitvoeren van de aanval is het noodzakelijk om het IP-adres van de netwerkinterface van de tunnel, toegewezen door de VPN-server, te achterhalen en vast te stellen dat er op dat moment een actieve verbinding naar een bepaalde host via de tunnel bestaat. <\/p>\n

Om het IP van de virtuele netwerkinterface van de VPN te bepalen, worden SYN-ACK-pakketten naar het systeem van het slachtoffer verzonden, waarbij het hele bereik van virtuele adressen systematisch wordt doorlopen (in de eerste plaats worden de adressen doorlopen die standaard in de VPN worden gebruikt, bijvoorbeeld in OpenVPN wordt het subnet 10.8.0.0\/24 gebruikt). Het bestaan van een adres kan worden vastgesteld aan de hand van een binnenkomend antwoord met de RST-vlag.<\/p>\n

Op een vergelijkbare manier wordt de verbinding met een bepaalde website en het poortnummer aan de clientzijde bepaald \u2014 door poortnummers te doorlopen, wordt er een SYN-pakket verzonden met het IP-adres van de website als bronadres en het virtuele IP van de VPN als bestemming. De serverpoort kan worden voorspeld (80 voor HTTP), terwijl het poortnummer aan de clientzijde kan worden berekend door te itereren en de wijziging in de intensiteit van ACK-antwoorden te analyseren in combinatie met het ontbreken van een pakket met de RST-vlag.<\/p>\n

In deze fase kent de aanvaller alle vier de elementen van de verbinding (IP-bronadressen\/poort en IP-bestemmingsadressen\/poort), maar om een nep-pakket te genereren dat door het systeem van het slachtoffer wordt waargenomen, moet de aanvaller de volgorde- en bevestigingsnummers (seq en ack) van de TCP-verbinding bepalen. Om deze parameters te bepalen, stuurt de aanvaller continu valse RST-pakketten en doorloopt verschillende volgordenummers totdat hij een ACK-pakket ontvangt, wat aangeeft dat het nummer binnen het TCP-venster valt. <\/p>\n

Daarna verifieert de aanvaller de nauwkeurigheid van de bepaling door pakketten met hetzelfde nummer te verzenden en de ontvangst van ACK-antwoorden te observeren, waarna hij het exacte nummer van de huidige volgorde aanpast. De taak wordt bemoeilijkt doordat de antwoorden binnen een versleutelde tunnel worden verzonden en het alleen met indirecte methoden mogelijk is om hun aanwezigheid in de onderschepte verkeersstroom te analyseren. Het feit dat een naar de VPN-server geadresseerd ACK-pakket door de client is verzonden, wordt bepaald op basis van de grootte en de vertraging van de versleutelde antwoorden, die correleren met de verzending van valse pakketten. Bijvoorbeeld, voor OpenVPN laat een versleuteld pakket van 79 bytes nauwkeurig concluderen dat het een ACK-bevestiging bevat.<\/p>\n

Voordat de bescherming tegen aanvallen aan de kernel van het besturingssysteem wordt toegevoegd, kan als tijdelijke methode het probleem worden geblokkeerd is het aanbevolen<\/a><\/noindex> door middel van een packet filter in de chain 'preroute' het doorlaten van pakketten blokkeren waarbij als bestemd adres het virtuele IP-adres van de tunnel is opgegeven.<\/p>\n

iptables -t raw -I PREROUTING ! -i wg0 -d 10.182.12.8 -m addrtype ! --src-type LOCAL -j DROP<\/p>\n

of voor nftables<\/p>\n

nft add table ip raw
\n nft add chain ip raw prerouting '{ type filter hook prerouting priority 0; }'
\n nft add rule ip raw prerouting 'iifname != \"wg0\" ip daddr 10.182.12.8 fib saddr type != local drop'<\/p>\n

Om bescherming te bieden bij het gebruik van tunnels met IPv4-adressen, volstaat het om rp_filter in de 'Strict'-modus te zetten ('sysctl net.ipv4.conf.all.rp_filter = 1'). Aan de VPN-zijde kan de methode voor het bepalen van het volgnummer worden geblokkeerd door toevoeging van extra opvulling aan de versleutelde pakketten, waardoor alle pakketgroottes hetzelfde worden. <\/p>\n

<\/a><\/noindex><\/p>\n

Bron: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043f\u0440\u043e\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 Linux, FreeBSD, OpenBSD, Android, macOS, iOS \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 Unix-\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b. Linux \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c rp_filter (reverse path filtering) \u0434\u043b\u044f IPv4, \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432 \u0440\u0435\u0436\u0438\u043c «Strict» \u043d\u0435\u0439\u0442\u0440\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u0443\u044e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443. \u041c\u0435\u0442\u043e\u0434 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53634","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Een kwetsbaarheid die het mogelijk maakt om in te breken in TCP-verbindingen die via VPN-tunnels worden uitgevoerd | ProHoster","description":"Een aanvalstechniek is gepubliceerd (CVE-2019-14899) die het mogelijk maakt om pakketten te vervalsen, te wijzigen of in te voegen.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u043a\u043b\u0438\u043d\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-05T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53634","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 08:12:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:21:20","updated":"2026-01-24 08:12:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/53634","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=53634"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/53634\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=53634"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=53634"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=53634"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}