{"id":53634,"date":"2019-12-06T00:00:00","date_gmt":"2019-12-05T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli"},"modified":"2020-02-18T14:01:34","modified_gmt":"2020-02-18T11:01:34","slug":"uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","title":{"rendered":"Vulnerabilidade que permite interceptar conex\u00f5es TCP realizadas atrav\u00e9s de t\u00famulos VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Publicado<\/a><\/noindex> t\u00e9cnica de ataque (CVE-2019-14899) que permite substituir, alterar ou inserir pacotes em conex\u00f5es TCP sendo transmitidas atrav\u00e9s de t\u00faneis VPN. O problema afeta Linux, FreeBSD, OpenBSD, Android, macOS, iOS e outros sistemas similares ao Unix. O Linux suporta o mecanismo rp_filter (filtragem de caminho reverso) para IPv4, cuja ativa\u00e7\u00e3o no modo «Strict» neutraliza esse problema. <\/p>\n

O m\u00e9todo permite a inser\u00e7\u00e3o de pacotes no n\u00edvel das conex\u00f5es TCP que passam por um t\u00fanel criptografado, mas n\u00e3o permite a intercep\u00e7\u00e3o de conex\u00f5es que utilizam camadas adicionais de criptografia (por exemplo, TLS, HTTPS, SSH). Os algoritmos de criptografia utilizados em VPNs n\u00e3o t\u00eam import\u00e2ncia, uma vez que pacotes falsificados chegam da interface externa e s\u00e3o processados pelo n\u00facleo como pacotes da interface VPN. O alvo mais prov\u00e1vel do ataque \u00e9 a interfer\u00eancia em conex\u00f5es HTTP n\u00e3o criptografadas, mas n\u00e3o se exclui<\/a><\/noindex> e o uso do ataque para manipular respostas DNS. <\/p>\n

A substitui\u00e7\u00e3o bem-sucedida de pacotes foi demonstrada para t\u00faneis criados com OpenVPN, WireGuard e IKEv2\/IPSec. O Tor n\u00e3o \u00e9 vulner\u00e1vel a esse problema, pois utiliza SOCKS para encaminhamento de tr\u00e1fego e vincula\u00e7\u00e3o \u00e0 interface de loopback. Para IPv4, o ataque \u00e9 poss\u00edvel se o rp_filter for configurado para o modo «Loose» (sysctl net.ipv4.conf.all.rp_filter = 2). Inicialmente, na maioria dos sistemas, o modo «Strict» era aplicado, mas a partir de systemd 240<\/a><\/noindex>, lan\u00e7ado em dezembro do ano passado, o modo padr\u00e3o foi alterado para «Loose» e essa mudan\u00e7a foi refletida nas configura\u00e7\u00f5es padr\u00e3o de muitas distribui\u00e7\u00f5es Linux.<\/p>\n

O mecanismo rp_filter \u00e9 aplicada<\/a><\/noindex> para verifica\u00e7\u00e3o adicional dos caminhos de passagem dos pacotes para prevenir a falsifica\u00e7\u00e3o do endere\u00e7o de origem. Ao configurar para 0, a verifica\u00e7\u00e3o do endere\u00e7o de origem n\u00e3o \u00e9 realizada e qualquer pacote pode ser redirecionado entre interfaces de rede sem restri\u00e7\u00f5es. O modo 1 «Strict» ativa a verifica\u00e7\u00e3o de cada pacote recebido do exterior em conformidade com a tabela de roteamento, e se a interface de rede pela qual o pacote foi recebido n\u00e3o est\u00e1 vinculada \u00e0 rota de entrega \u00f3tima, o pacote \u00e9 descartado. O modo 2 «Loose» suaviza a verifica\u00e7\u00e3o para permitir o funcionamento quando se utilizam balanceadores de carga ou roteamento assim\u00e9trico, onde
\na rota de resposta pode passar por uma interface de rede diferente daquela pela qual o pacote de entrada chegou.<\/p>\n

No modo «Loose», o pacote de entrada \u00e9 verificado quanto \u00e0 conformidade com a tabela de roteamento, mas \u00e9 considerado aceit\u00e1vel se o endere\u00e7o de origem for alcan\u00e7ado atrav\u00e9s de qualquer interface de rede dispon\u00edvel. O ataque proposto \u00e9 constru\u00eddo com base no fato de que o atacante pode enviar um pacote com o endere\u00e7o de origem falsificado, correspondente \u00e0 interface VPN, e apesar de esse pacote entrar no sistema atrav\u00e9s de uma interface de rede externa, e n\u00e3o pela VPN, no modo rp_filter «Loose», tal pacote n\u00e3o ser\u00e1 descartado. <\/p>\n

Para realizar o ataque, o criminoso deve controlar o gateway pelo qual o usu\u00e1rio se conecta \u00e0 rede (por exemplo, atrav\u00e9s de uma organiza\u00e7\u00e3o MITM, ao conectar a v\u00edtima a um ponto de acesso sem fio controlado pelo atacante ou atrav\u00e9s de hackeamento de roteador<\/a><\/noindex>). Controlando o gateway pelo qual o usu\u00e1rio est\u00e1 conectado \u00e0 rede, o atacante pode enviar pacotes falsos que ser\u00e3o interpretados no contexto da interface de rede VPN, mas as respostas ser\u00e3o enviadas atrav\u00e9s do t\u00fanel.<\/p>\n

Ao gerar um fluxo de pacotes falsos, nos quais \u00e9 inserido o endere\u00e7o IP da interface VPN, tentam-se influenciar a conex\u00e3o estabelecida pelo cliente, mas a observa\u00e7\u00e3o dos efeitos desses pacotes s\u00f3 pode ser feita atrav\u00e9s da an\u00e1lise passiva do fluxo de tr\u00e1fego criptografado relacionado \u00e0 opera\u00e7\u00e3o do t\u00fanel. Para conduzir o ataque, \u00e9 necess\u00e1rio descobrir o endere\u00e7o IP da interface do t\u00fanel designado pelo servidor VPN, bem como determinar que atualmente h\u00e1 uma conex\u00e3o ativa atrav\u00e9s do t\u00fanel para um determinado host. <\/p>\n

Para determinar o IP da interface de rede virtual VPN, \u00e9 enviado ao sistema da v\u00edtima pacotes SYN-ACK, percorrendo sequencialmente todo o intervalo de endere\u00e7os virtuais (primeiramente, s\u00e3o testados os endere\u00e7os padr\u00e3o utilizados na VPN, por exemplo, no OpenVPN usa-se a sub-rede 10.8.0.0\/24). A exist\u00eancia do endere\u00e7o pode ser inferida pela chegada de uma resposta com a flag RST.<\/p>\n

Da mesma forma, \u00e9 determinado a presen\u00e7a de uma conex\u00e3o com um determinado site e o n\u00famero da porta do lado do cliente \u2014 ao percorrer os n\u00fameros de porta, \u00e9 enviado um pacote SYN, com o IP do site como endere\u00e7o de origem e o IP virtual do VPN como endere\u00e7o de destino. A porta do servidor pode ser prevista (80 para HTTP), enquanto o n\u00famero da porta do lado do cliente pode ser calculado por tentativa, analisando para diferentes n\u00fameros a varia\u00e7\u00e3o na intensidade das respostas ACK em combina\u00e7\u00e3o com a aus\u00eancia de um pacote com a flag RST.<\/p>\n

Neste est\u00e1gio, o atacante conhece todos os quatro elementos da conex\u00e3o (endere\u00e7o\/porta IP de origem e endere\u00e7o\/porta IP de destino), mas para gerar um pacote falso que ser\u00e1 reconhecido pelo sistema da v\u00edtima, o atacante deve determinar os n\u00fameros de sequ\u00eancia e confirma\u00e7\u00e3o (seq e ack) da conex\u00e3o TCP. Para determinar esses par\u00e2metros, o atacante continuamente envia pacotes RST falsos, testando diferentes n\u00fameros de sequ\u00eancia, at\u00e9 que receba um pacote ACK em resposta, cuja chegada indica que o n\u00famero est\u00e1 dentro da janela TCP. <\/p>\n

Em seguida, o atacante verifica a precis\u00e3o da identifica\u00e7\u00e3o enviando pacotes com o mesmo n\u00famero e observando a recep\u00e7\u00e3o das respostas ACK, ap\u00f3s o que ele identifica o n\u00famero exato da sequ\u00eancia atual. A tarefa \u00e9 dificultada pelo fato de que as respostas s\u00e3o enviadas dentro de um t\u00fanel criptografado, e sua presen\u00e7a no fluxo de tr\u00e1fego interceptado s\u00f3 pode ser analisada indiretamente. O fato de um pacote ACK endere\u00e7ado ao servidor VPN ser enviado pelo cliente \u00e9 determinado com base no tamanho e na lat\u00eancia das respostas criptografadas, correlacionadas com o envio de pacotes falsos. Por exemplo, para o OpenVPN, um pacote criptografado com tamanho 79 permite concluir com precis\u00e3o que cont\u00e9m uma confirma\u00e7\u00e3o ACK.<\/p>\n

Antes que a prote\u00e7\u00e3o contra ataques seja adicionada ao kernel do sistema operacional, um m\u00e9todo tempor\u00e1rio de bloqueio do problema \u00e9 recomenda-se<\/a><\/noindex> usando um filtro de pacotes na cadeia \"preroute\" para bloquear a passagem de pacotes cujo endere\u00e7o de destino indique o endere\u00e7o IP virtual do t\u00fanel.<\/p>\n

iptables -t raw -I PREROUTING ! -i wg0 -d 10.182.12.8 -m addrtype ! --src-type LOCAL -j DROP<\/p>\n

ou para nftables<\/p>\n

nft add table ip raw
\n nft add chain ip raw prerouting '{ type filter hook prerouting priority 0; }'
\n nft add rule ip raw prerouting 'iifname != \"wg0\" ip daddr 10.182.12.8 fib saddr type != local drop'<\/p>\n

Para prote\u00e7\u00e3o ao utilizar t\u00faneis com endere\u00e7os IPv4, \u00e9 suficiente configurar o rp_filter para o modo \"Strict\" (\"sysctl net.ipv4.conf.all.rp_filter = 1\"). No lado do VPN, o m\u00e9todo para determinar o n\u00famero da sequ\u00eancia pode ser bloqueado adicionando preenchimento extra aos pacotes criptografados, fazendo com que o tamanho de todos os pacotes se torne igual. <\/p>\n

<\/a><\/noindex><\/p>\n

Fonte: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043f\u0440\u043e\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 Linux, FreeBSD, OpenBSD, Android, macOS, iOS \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 Unix-\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b. Linux \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c rp_filter (reverse path filtering) \u0434\u043b\u044f IPv4, \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432 \u0440\u0435\u0436\u0438\u043c «Strict» \u043d\u0435\u0439\u0442\u0440\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u0443\u044e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443. \u041c\u0435\u0442\u043e\u0434 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53634","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Vulnerabilidade que permite intervir em conex\u00f5es TCP realizadas atrav\u00e9s de t\u00faneis VPN | ProHoster","description":"Foi publicada uma t\u00e9cnica de ataque (CVE-2019-14899) que permite interceptar, modificar ou inserir pacotes.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u043a\u043b\u0438\u043d\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432.","og:url":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-05T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53634","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 08:12:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:21:20","updated":"2026-01-24 08:12:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/53634","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=53634"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/53634\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=53634"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=53634"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=53634"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}