Vulnerabilità su alcune distribuzioni linux consente dirottamenti di traffico VPN

06/12/2019

CVE-2019-14899 VPN Vulnerabilità

Un gruppo di ricercatori dell’Università del New Mexico ha scoperto un bug che riguarda i client VPN WireGuard, OpenVPN, IKEv2/IPSec. La vulnerabilità è stata tracciata con CVE 2019-14899 e, secondo quanto riportato nell’analisi, è stata testata con successo sui seguenti sistemi operativi:

Ubuntu 19.10 (systemd) MX Linux 19 (Mepis+antiX)
Fedora (systemd) Void Linux (runit)
Debian 10.2 (systemd) Slackware 14.2 (rc.d)
Arch 2019.05 (systemd) Deepin (rc.d)
Manjaro 18.1.1 (systemd) FreeBSD (rc.d)
Devuan (sysV init) OpenBSD (rc.d)

Anche altri sistemi operativi come Android e MacOS sarebbero potenzialmente interessati.

La vulnerabilità consentirebbe a un utente malintenzionato (connesso alla stessa rete della vittima) di sapere se la vittima è connessa ad una VPN, stabilirne l’IP virtuale assegnato dal server VPN, quale sito web sta visitando e, nel caso peggiore, modificare il flusso TCP per dirottare, magari, la vittima verso altri contenuti.

I ricercatori indicano un ulteriore scenario in cui potrebbe essere sfruttata la vulnerabilità. L’attaccante potrebbe infatti mettere a disposizione un Access Point (di cui ha il controllo) al fine di mettere a segno le attività sopra indicate.

Al momento i ricercatori hanno indicato possibili mitigazioni lato server VPN, ma non è stata rilasciata alcuna patch. Un’analisi dettagliata della vulnerabilità è presente al seguente link.