Kwetsbaarheid in TCP gebaseerde VPN verbindingen

[Briolet]

Op security.nl staat een melding dat er een methode (CVE-2019-14899) ontdekt is om op TCP gebaseerde VPN verbindingen in te breken als je verbind via een kwaadaardige Wifi verbinding.

Het betreft o.a. OpenVPN, WireGuard en IKEv2/IPSec die draaien op diverse unix verwante OS'en. (Linux, FreeBSD, OpenBSD, macOS, iOS en Android)

L2TP en OpenVPN via UDP lijken dus niet betroffen.

[Pippin]

Het is eigenlijk een "bug" in de routing engine, daarom wordt er ook door kernel developers naar gekeken.

https://seclists.org/oss-sec/2019/q4/122

**Possible Mitigations:

1. Turning reverse path filtering on

rp_filter voor alle en "all" interfaces op 1 zetten (via sysctl) probleem opgelost.
https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering

Veel distro's hebben dit reeds op 1 staan, heb geen toegang tot NAS op dit moment, weet dus niet of dit standaard op 1 staat.

[Briolet]

Bij de nas staat die op 0

Code: [Selecteer]

cat /proc/sys/net/ipv4/conf/default/rp_filter
0
Maar de nas gebruik je ook niet als vpn cliënt via vreemde wifi's, dus daar zal het niet zoveel uitmaken.

[Pippin]

Inderdaad.
Info van OpenVPN:
https://openvpn.net/no-flaws-found-in-openvpn-software/

[sciurius]

Het is mij niet duidelijk of het een client of server probleem is, dus of die rp_filter op de server of mijn client moet...

[Briolet]

Het probleem zal op beide zitten, maar kan alleen uitgebuit worden als het apparaat op een kwaadaardige lan zit. Dat zat niet zo snel bij een nas het geval zijn. Wel bij een mobiel device dat met een verkeerde wifi hotspot verbind.

Zoals de link van MMD aangeeft, betreft het niet zozeer vpn zelf maar het tcp protocol zelf. Het gebruik van een vpn tunnel gold altijd als veilig bij verbinden met een kwaadaardige hotspot.  Bij een TLS verbinding was het altijd al standaard dat die simpel aan te vallen was via een mit aanval.