Các nhà nghiên cứu bảo mật quốc tế vừa tìm thấy một lỗ hổng Linux hoàn toàn mới, cho phép những kẻ tấn công tiềm năng chiếm quyền điều khiển các kết nối VPN trên thiết bị *NIX và “tiêm” payload dữ liệu tùy ý vào các luồng TCP4 và IPv6.

Lỗ hổng bảo mật này hiện đang được theo dõi với mã định danh CVE-2019-14899, có liên quan trực tiếp đến các bản phân phối và nhóm bảo mật hạt nhân Linux, cũng như một số nhóm khác chịu ảnh hưởng như Systemd, Google, Apple, OpenVPN và WireGuard. Cụ thể hơn, lỗ hổng ảnh hưởng đến hầu hết các bản phân phối Linux cũng như hệ điều hành Unix-like bao gồm FreeBSD, OpenBSD, macOS, iOS và Android. Dưới đây là danh sách (chưa đầy đủ) về các hệ điều hành dễ bị tổn thương bởi lỗ hổng cũng như các hệ thống init mà chúng đi kèm:

• Ubuntu 19.10 (systemd)
• Fedora (systemd)
• Debian 10.2 (systemd)
• Arch 2019.05 (systemd)
• Manjaro 18.1.1 (systemd)
• Devuan (sysV init)
• MX Linux 19 (Mepis+antiX)
• Void Linux (runit)
• Slackware 14.2 (rc.d)
• Deepin (rc.d)
• FreeBSD (rc.d)
• OpenBSD (rc.d)

Tất cả các mô hình triển khai VPN đều bị ảnh hưởng

Theo phát hiện của các chuyên gia tới từ Đại học New Mexico, lỗ hổng bảo mật này “cho phép kẻ tấn công xác định xem những đối tượng nào đang kết nối với VPN, địa chỉ IP ảo được gán bởi máy chủ VPN, và việc có hay không các kết nối tương thích với một website cụ thể. Ngoài ra, lỗ hổng cũng cho phép hacker xác định chính xác số seq và ack bằng cách đếm các gói được mã hóa, hoặc kiểm tra kích thước của chúng. Điều này cho phép chúng đẩy dữ liệu vào luồng TCP và chiếm quyền kiểm soát.

Các cuộc tấn công khai thác lỗ hổng CVE-2019-14899 này chủ yếu chống lại OpenVPN, WireGuard và IKEv2/IPSec, và rất có thể là cả với Tor. Ngoài ra, gần như tất cả các bản phân phối Linux sử dụng phiên bản systemd với cấu hình mặc định đều dễ bị tấn công.

Dưới đây là các bước cần thiết mà hacker sử dụng để thực hiện một cuộc tấn công khai thác lỗ hổng CVE-2019-14899 và chiếm quyền điều khiển kết nối VPN mục tiêu:

• Xác định địa chỉ IP ảo của máy khách VPN.
• Sử dụng địa chỉ IP ảo để suy luận thông tin về các kết nối đang hoạt động.
• Sử dụng trả lời được mã hóa cho các gói không được yêu cầu để xác định chuỗi và số xác nhận của kết nối đang hoạt động nhằm chiếm quyền điều khiển phiên TCP.

Nhóm nghiên cứu đang lên kế hoạch xuất bản một bài báo phân tích chuyên sâu về lỗ hổng này cũng như những tác động của nó sau khi tìm thấy cách ứng phó tối ưu nhất.

Nguồn quantrimang