VPN: nuova vulnerabilità per i sistemi Unix-like

Rilevata una nuova falla a carico delle connessioni VPN che coinvolge praticamente tutte le distribuzioni Linux e i sistemi Unix-Like come MacOS e Android

Negli scorsi giorni i ricercatori di sicurezza informatica della University of New Mexico hanno annunciato di aver scoperto una nuova vulnerabilità software che potrebbe permettere di compromettere le connessioni VPN sui sistemi Unix-like.

Questo bug, etichettato come CVE-2019-14899, darebbe la possibilità ad un utente malintenzionato di dirottare il traffico dati di un utente connesso ad una VPN e di iniettare in modo arbitrario data payloads nello stream IP/TCP. Secondo i ricercatori tutte le implementazioni VPN sarebbero afflitte da tale falla.

La gravità del bug

A scoprire questa vulnerabilità sono stati i ricercatori William J. Tolley, Beau Kujath e Jedidiah R. Crandall. Il report di analisi dettagliato non è stato ancora reso disponibile al pubblico per evitare di mettere a rischio gli utenti, tuttavia il team si è detto molto preoccupato.

Tramite tale bug sarebbe possibile individuare l’IP virtuale usato dall’utente, l’esatta sequenza numerica di seq e ack, contare i pacchetti crittografati ed esaminarne la dimensione. Con tali informazioni un attaccante potrebbe facilmente iniettare dei dati contraffatti nel flusso TCP e dirottare le connessioni dell’utente connesso ad una VPN. Inoltre, tale tipologia di attacco riuscirebbe a bypassare anche i controlli di tool come OpenVPN, WireGuard e IKEv2/IPSec.

I sistemi operativi colpiti

I ricercatori hanno eseguito dei test sulle principali distribuzioni Linux, rilevando che quasi tutte le configurazioni con systemd ed rc.d sono interessate dalla vulnerabilità. Il bug è stato riscontrato anche nei sistemi BSD, su MacOS, su iOS e Android.

Il bugfix non è ancora disponile

Secondo il team di ricercatori sarebbe possibile mitigare la falla impostando dei filtri alla connessione, come ad esempio il reverse path ed il bogon. Tuttavia la soluzione definitiva alla vulnerabilità non è ancora stata individuata.