Một nhóm các nhà nghiên cứu về an ninh mạng đã tiết lộ một lỗ hổng nghiêm trọng mới ảnh hưởng đến hầu hết các hệ điều hành giống Linux và Unix, bao gồm FreeBSD, OpenBSD, macOS, iOS và Android, có thể cho phép ‘kẻ tấn công mạng liền kề’ (network adjacent attackers) từ xa theo dõi và giả mạo VPN được mã hóa kết nối.
Lỗ hổng, được theo dõi là CVE-2019-14899, nằm trong ngăn xếp mạng của các hệ điều hành khác nhau và có thể được khai thác đối với cả hai luồng TCP IPv4 và IPv6.
Do lỗ hổng không phụ thuộc vào công nghệ VPN được sử dụng, cuộc tấn công hoạt động chống lại các giao thức mạng riêng ảo được triển khai rộng rãi như OpenVPN, WireGuard, IKEv2/IPSec và hơn thế nữa, các nhà nghiên cứu xác nhận.
Lỗ hổng này có thể bị kẻ tấn công mạng khai thác – kiểm soát điểm truy cập hoặc kết nối với mạng của nạn nhân – chỉ bằng cách gửi các gói mạng không được yêu cầu đến một thiết bị được nhắm mục tiêu và do thám lời đáp, ngay cả khi chúng được mã hóa.
Theo giải thích của các nhà nghiên cứu, mặc dù có các biến thể cho từng hệ điều hành bị ảnh hưởng, lỗ hổng cho phép kẻ tấn công:
xác định địa chỉ IP ảo của nạn nhân được chỉ định bởi máy chủ VPN,
xác định xem có kết nối hoạt động với một trang web nhất định không,
xác định chính xác số seq và ack bằng cách đếm các gói được mã hóa và/hoặc kiểm tra kích thước của chúng và
tiêm dữ liệu vào luồng TCP và hijack kết nối.
“Điểm truy cập sau đó có thể xác định IP ảo của nạn nhân bằng cách gửi các gói SYN-ACK đến thiết bị nạn nhân trên toàn bộ không gian IP ảo”, nhóm nghiên cứu cho biết trong lời khuyên của mình.
“Khi một SYN-ACK được gửi đến đúng IP ảo trên thiết bị nạn nhân, thiết bị sẽ phản hồi bằng RST; khi SYN-ACK được gửi đến IP ảo không chính xác, kẻ tấn công không nhận được gì.”
Trong khi giải thích các biến thể trong hành vi của các hệ điều hành khác nhau, như một ví dụ, các nhà nghiên cứu cho biết cuộc tấn công không hoạt động đối với các thiết bị macOS / iOS như mô tả.
Thay vào đó, kẻ tấn công cần “sử dụng cổng mở trên máy Apple để xác định địa chỉ IP ảo”. Trong thử nghiệm của họ, các nhà nghiên cứu sử dụng “cổng 5223, được sử dụng cho iCloud, iMessage, FaceTime, Game Center, Photo Stream và thông báo đẩy, v.v.”
Các nhà nghiên cứu đã thử nghiệm và khai thác thành công lỗ hổng chống lại các hệ điều hành và hệ thống init sau đây, nhưng họ tin rằng danh sách này có thể còn dài hơn khi các nhà nghiên cứu kiểm tra lỗ hổng trên nhiều hệ thống hơn.
Ubuntu 19.10 (systemd)
Fedora (systemd)
Debian 10.2 (systemd)
Arch 2019.05 (systemd)
Manjaro 18.1.1 (systemd)
Devuan (sysV init)
MX Linux 19 (Mepis+antiX)
Void Linux (runit)
Slackware 14.2 (rc.d)
Deepin (rc.d)
FreeBSD (rc.d)
OpenBSD (rc.d)
Các nhà nghiên cứu cho biết: “Hầu hết các bản phân phối Linux mà chúng tôi đã thử nghiệm đều dễ bị tấn công, đặc biệt là các bản phân phối Linux sử dụng phiên bản systemd được kéo sau ngày 28 tháng 11 năm ngoái, đã tắt tính năng lọc đường ngược”.
“Tuy nhiên, gần đây chúng tôi đã phát hiện ra rằng cuộc tấn công cũng hoạt động chống lại IPv6, do đó, việc lọc đường dẫn ngược lại không phải là một giải pháp hợp lý.”
Để giảm thiểu có thể, các nhà nghiên cứu đề nghị bật tính năng lọc đường ngược, thực hiện lọc bogon và mã hóa kích thước và thời gian gói để ngăn chặn kẻ tấn công thực hiện bất kỳ suy luận nào.
Mặc dù các nhà nghiên cứu chưa tiết lộ chi tiết kỹ thuật về lỗ hổng, họ đang lên kế hoạch xuất bản một phân tích chuyên sâu về lỗ hổng này và những hệ lụy liên quan của nó, sau khi các nhà cung cấp bị ảnh hưởng, bao gồm Systemd, Google, Apple, OpenVPN, WireGuard và các bản phân phối Linux khác nhau phát hành giải pháp thỏa đáng và các bản vá.
