新漏洞使攻击者能够在大多数UNIX系统上劫持VPN连接

安全研究员William J. Tolley报告了一个新漏洞，该漏洞似乎允许攻击者使用OpenVPN，WireGuard或IKEv2 / IPSec VPN解决方案劫持大多数基于UNIX的操作系统上的VPN连接。

影响大多数GNU / Linux发行版以及FreeBSD，OpenBSD，Android，iOS和macOS系统，新的安全漏洞可能使本地攻击者能够确定其他用户是否已连接到VPN(虚拟专用网络)服务器，以及是否到某个网站的活动连接。

漏洞(CVE-2019-14899)可通过相邻网络访问加以利用，这要求攻击者有权访问易受攻击的操作系统的广播或冲突域，并允许攻击者通过将数据注入TCP(传输)来劫持连接。控制协议)流。

据报道，该漏洞可与各种流行的VPN解决方案(包括OpenVPN，IKEv2 / IPSec以及WireGuard)配合使用，并且使用哪种VPN技术都无关紧要，从而使攻击者能够确定通过其发送的数据包的类型。加密的VPN隧道。

“我们测试的大多数Linux发行版都是易受攻击的，尤其是使用去年11月28日之后撤消的systemd版本的Linux发行版，它关闭了反向路径过滤。但是，我们最近发现，该攻击也针对IPv6，因此将其反向路径过滤不是一个合理的解决方案，” Tolley说。

来自德国的IT安全顾问Noel Kuntze报告说，不管您是否有VPN，而且不是特定于系统的，这种类型的攻击都有效。他还声称，它们仅影响基于路由的VPN，不影响基于策略的VPN。而且，这些攻击不适用于启用TOR的连接，并且对大多数用户的影响有限。

“攻击者只有在不受保护的情况下，才能通过攻击连接来注入数据包(例如，在商业VPN提供商设置中，即连接从VPN服务器中“出来”并到达WAN上的目的地时。)通常很好。诺埃尔·昆策(Noel Kuntze)说。

尚未找到令人满意的解决方法

研究人员声称已经针对几种流行的GNU / Linux和BSD发行版测试了该漏洞，包括ArchLinux 2019.05(systemd)，Debian10.2(systemd)，Deepin(rc.d)，Devuan(sysV init)，Fedora(systemd)， FreeBSD(rc.d)，Manjaro18.1.1(systemd)，MX Linux 19(Mepis和antiX)，OpenBSD(rc.d)，Ubuntu19.10(systemd)，Slackware14.2(rc.d)和Void Linux(runit) )，但其他许多因素也可能会受到影响。

可能的缓解措施包括通过创建内容为“ net.ipv4.conf.all.rp_filter = 1”的文件/etc/sysctl.d/51-rpfilter.conf来打开反向路径过滤，Bogon过滤以及加密的数据包大小和时间，但是它们每个都在不同的环境中存在潜在的问题，因此建议您等到该漏洞在您选择的操作系统中得到修补为止。因此，我们建议用户始终保持系统最新，并安装所有可用的软件更新。