发布日期:2021-02-26 15:51:30
游览量:26
作者:谷尼软件
最近,安全研究人员发现了一个新的漏洞,它使潜在的攻击者能够劫持受影响的*NIX设备上的VPN连接,并将任意数据负载注入到IPv4和IPv6 TCP流中。
他们向发行和Linux内核安全团队以及其他受影响的系统(如Systemd、Google、Apple、OpenVPN和WireGuard)披露了CVE-2019-14899的安全漏洞。
众所周知,这个漏洞会影响大多数Linux发行版和类似Unix的操作系统,包括FreeBSD、OpenBSD、macOS、iOS和Android。
下面列出了当前不完整的易受攻击的操作系统及其附带的初始化系统。一旦测试发现受影响,将添加更多内容:
Ubuntu 19.10(system d)Fedora(system d)Debian 10.2(system d)Arch 2019.05(system d)Manjaro 18 . 1 . 1(sysd)Devuan(SysV init)MX Linux 19(Mepis+antiX)Void Linux(Runit)slacware 14.2(RC。D) Deepin (RC。D) FreeBSD (RC。D) OpenBSD (RC。D)
此安全漏洞“使邻近网络中的攻击者能够确定是否有其他用户连接到VPN,VPN服务器已为他们分配了虚拟IP地址和给定网站的活动连接”。
——William J. Tolley,Beau Kujath和Jedidiah R. Crandall,新墨西哥州大学的突破性坏研究人员。
研究人员说,“此外,我们可以计算加密的数据包或检查它们的大小,以确定确切的序列号和确认号。这使我们能够将数据注入TCP流并劫持连接。”
使用CVE-2019-14899的攻击可以抵抗OpenVPN、WireGuard和IKEv2/IPSec,但研究人员仍在测试其针对Tor的可行性。
他们还指出,使用的VPN技术似乎并不重要,因为即使他们从目标获得的响应是加密的,假设数据包的大小和发送的数据包数量足以找到通过加密VPN隧道发送的数据包类型,攻击在测试中是有效的。
在Ubuntu 19.10发布之前,这种攻击对我们测试的任何Linux发行版都没有影响,我们注意到rp_filter被设置为“松散”模式。我们可以看到sysctl.d/50-default.conf中的默认设置在2018年11月28日已经从“严格”模式变成了“宽松”模式,所以很容易在这个日期之后使用未修改的systd版本进行分发而受到攻击。我们测试的大多数使用其他init系统的Linux发行版都将值保持为0(Linux内核的默认值)。
研究人员发现,他们测试的大多数Linux发行版都容易受到利用这一缺陷的攻击。此外,所有使用2018年11月28日之后发布的systemd版本(反向路径过滤从严格模式切换到宽松模式)的发行版都容易受到攻击。
值得注意的是,尽管某些发行版的某些systemd版本易受攻击,但已知此漏洞会影响各种init系统,并且与systemd有关,如上面列出的受影响的操作系统所示。
此外,网络安全顾问诺埃尔昆茨(Noel Kuntze)在回复公众报告时表示,该漏洞仅影响基于路由的VPN实施。
一位据说是亚马逊Web Services的员工也表示,利用此漏洞的攻击并没有影响亚马逊Linux发行版和AWS VPN产品。
据研究人员称,缓解是可能的,可以通过打开反向路径过滤、使用bogon过滤(过滤虚假IP地址)或借助加密数据包大小和定时来实现。
以下是运行旨在利用此漏洞并劫持目标的VPN连接的攻击所需的步骤:
确定虚拟专用网客户端的虚拟IP地址
使用虚拟IP地址推断活动连接
对未经请求的数据包的加密回复用于确定劫持TCP会话的活动连接的顺序和确认号,从而劫持TCP会话
在此处提供的公开报告中,详细描述了在Linux发行版上重现此漏洞的完整过程。
研究团队计划在找到合适的解决方案后,发布对漏洞及其意义的深入分析。
潍坊谷尼软件技术服务有限公司17年行业经验、服务企业5000家,知名企业近160家。谷尼信天翁是山东网站制作机构,是山东企业"互联网+";"移动营销"品牌。执行供给侧改革的网络企业。咨询热线:13188831521TAG标签:VPN , macOS , Linux发行版 , 未注明作者或来源均属原创文章,转载请注明:转自 谷尼软件
摘要:处于信息时代,人们对网页设计提出更多要求,但网页设计的艺术性、目的性、时代感并不突出,与宣传需要严重不符。对此,应根据实际设计要求,合理运用图像分割、图像编码压缩等图像处理技术,确保最佳网页设计效果。空间域处理阵列较大的图像,计算量也会随之增加;对此,借助沃尔什变换、傅立叶变换等多种图像
摘要:借助计算机程序,通过相应的设计、分析、建模和执行等一系列手段,将设计者所要表达的信息通过互联网展示出来,最终用户所浏览到的界面通常是图形的形式,这即是网页设计。换句话说,网页设计的目的便是产生用户所需要的网站以供浏览和阅读。通常来说,文字,图片以及表格这些简单的信息都可以放置到网站页面上。而矢
摘要:在ASP的开发过程中,基本不能在Unix等一系列的服务器上运行,而只能在微软的服务器产品中运行。然而,JSP在Apache的支持下,可以实现在Unix、Linux等其他很多操作系统中运行。除此之外,JSP是JAVA的一部分,使得它还具有只需编写一次,就能随时使用的特点。这个特点实地能够实现跨平台的移植,相对其他潍坊网站建设动
摘要:由于不同网站的配置、运行情况很不相同,所以监听网站前先要读取XML文件初始化参数,包括监听的网站目录、禁止上传的文件类型、日志位置、上传文件所在目录、发送短信参数等。监听工具服务程序使用Java的JNotify组件进行监控,程序运行后调用监控类,监控类继承于JNotifyListener接口,需要开发者重写fileRenamed、fi
摘要:随着互联网技术的迅速发展,人们越来越习惯于从各种网站获取信息,而网站作为信息传递的载体,其性能与服务方式对用户浏览体验极为重要。在新媒体技术的影响下,网络UI设计自然成为用户浏览体验的重要因素。UI是用户界面的简称,合理的UI设计可以通过软件操作呈现出舒适化与简单化,给人以美感。传统的网页设计都是通
摘要:当前社会信息技术高速发达,为了提高企业服务效率,为顾客提供最佳服务体验,企业都会建立专门的企业网站,这类网站将介绍企业基本信息、最新产品参数以及企业发展规划、人才招聘等信息。而网站的建立将成为企业壮大、发展的关键,因此为了提高企业网站的运行效率,在网站开发初期,需要针对网页搜索引擎做出优化,既
摘要:以前的搜索引擎主要根据内容与关键词匹配度来排名,关键词出现的频率将成为搜索引擎数据排名的重要参考依据。而随着引擎算法的提升,排序思想逐渐被淘汰,当下排序开始采用链接分析技术,针对链接分析排序算法而言,可以减少垃圾,也可以有效减少人为信息干预,提高数据的准确率。结构层可以突出信息的层次性,因此,
可是,他们却忽枧了为自己的企业建一个网站。在网络时代的今日,一个企业有没有自己的网站和一个公司的领导有没有手刺相同重要。一个中小型企业树立一个网站的必要性,咱们将从以下几点叙说。一、树立一个网站费用也比其它广告方法要低的多。如企业在报纸上做广告,半个版面,几天时刻就要花掉几十万。当然,网站和广告是两