Vulnerabilidade existente desde 2002, compromete a integridade de redes VPN
A vulnerabilidade TunnelVision, identificada como CVE-2024-3661, explora uma fraqueza em como os dispositivos lidam com a opção 121 do DHCP, permitindo que atacantes na mesma rede local redirecionem o tráfego VPN para fora do túnel criptografado. A falha foi descoberta em maio de 2024, mas o problema subjacente existe desde 2002. O TunnelVision pode contornar a criptografia VPN manipulando as tabelas de roteamento do dispositivo alvo, enviando o tráfego através de um gateway malicioso sem desconectar a VPN, expondo assim o tráfego não criptografado, comprometendo a privacidade e o anonimato (seu endereço IP, por exemplo) que essas redes deveriam garantir.
Essa vulnerabilidade afeta especialmente VPNs baseadas em roteamento, aproveitando falhas no processo de configuração do cliente VPN ao interagir com servidores DHCP maliciosos. A vulnerabilidade TunnelVision afeta qualquer sistema operacional que utilize serviços DHCP com suporte à opção de roteamento 121. Isso inclui Windows, macOS, iOS e Linux. Dispositivos Android não são afetados, pois não suporta DHCP com a opção 121. Em sistemas baseados em Linux, uma configuração padrão geralmente reduz o impacto do TunnelVision, mas eles ainda permanecem vulneráveis.
Como funciona a vulnerabilidade TunnelVision
TunnelVision explora a forma como os clientes VPN configuram o tráfego da rede. Quando um usuário se conecta a uma VPN, o software cliente VPN cria interfaces de rede virtuais e configura regras de roteamento para encaminhar o tráfego através do túnel VPN por essa interface virtual.
O ataque TunnelVision manipula as configurações de roteamento e DNS fornecidas por um servidor DHCP malicioso (normalmente em uma WiFi comprometida), para utilizar a interface de rede local ao invés da interface virtual, desviando o tráfego para fora do túnel VPN antes que ele seja criptografado. Isso permite que o atacante intercepte e visualize os dados não criptografados, quebrando a segurança oferecida pela VPN.
O vídeo a seguir, exibe uma demonstração do problema:
Correção e mitigação do problema
Para corrigir essa vulnerabilidade, sugere-se implementar as seguintes medidas:
- Validação Rigorosa de DHCP: Configurar os clientes VPN para validar as respostas DHCP e descartar configurações suspeitas. Isso pode incluir ignorar servidores DHCP desconhecidos ou não confiáveis.
- Aprimoramento de Scripts de Configuração: Atualizar scripts de configuração (“up scripts” e “down scripts”) usados pelos clientes VPN para reforçar as regras de roteamento e DNS, garantindo que o tráfego permaneça dentro do túnel VPN.
- Uso de Certificados e Assinaturas Digitais: Adotar o uso de certificados digitais para autenticar as configurações de rede recebidas, evitando que servidores DHCP maliciosos possam modificar as rotas.
- Bloqueio de Roteamento Local: Implementar bloqueios para impedir que o tráfego local seja roteado fora do túnel VPN, especialmente em ambientes não confiáveis, como redes públicas de Wi-Fi.
Além dessas medidas técnicas, é recomendável que os usuários evitem redes Wi-Fi públicas e usem hotspots pessoais ou conexões confiáveis sempre que possível. Manter o software VPN atualizado e utilizar soluções de firewall robustas também pode ajudar a mitigar os riscos associados a essa vulnerabilidade.
Mais informações:
