Ein Team von Cybersicherheitsforschern entdeckte eine neue und schwerwiegende Schwachstelle für Linux- und Unix-Betriebssysteme, darunter FreeBSD, OpenBSD, MacOS, iOS und Android, die es Hackern ermöglichen kann, aus der Ferne zu spionieren und verschlüsselte VPN-Verbindungen zu beeinflussen.
Die Schwachstelle, genannt CVE-2019-14899, befindet sich im Netzwerkstapel von Betriebssystemen und kann auf TCP-IPv4- und IPv6-Streams verwendet werden.
Da der Fehler nicht von der Art des verwendeten VPN abhängt, arbeitet der Angriff gegen gängige Virtual Private Network Protokolle wie OpenVPN, WireGuard, IKEv2/IPSec und andere.
Diese Schwachstelle kann von Angreifern ausgenutzt werden, die einen Zugangspunkt oder ein Opfer mit dem Netzwerk verbunden haben, indem sie einfach Netzwerkpakete an das ausgewählte Gerät senden und die Antworten überwachen, auch wenn sie verschlüsselt sind.
GNU/Linux arbeitet auf PC-kompatiblen Systemen der Intel x86-Familie sowie auf IA-64, AMD64, PowerPC, ARM und vielen anderen.
Wie die Forscher erklärten, obwohl jedes Betriebssystem seine eigenen Eigenschaften hat, ermöglicht die Schwachstelle Angreifern dies:
- Ermitteln Sie die vom VPN-Server zugewiesene virtuelle IP-Adresse des Opfers;
- Überprüfen Sie, ob eine aktive Verbindung zu dieser Website besteht;
- Bestimmen Sie die genauen Ablauf- und Alarmnummern, indem Sie die verschlüsselten Pakete zählen und/oder deren Größe überprüfen;
- Geben Sie Daten in den TCP-Stream ein und fangen Sie Verbindungen ab.
„Der Zugangspunkt kann dann die virtuelle IP-Adresse des Opfers bestimmen, indem er SYN-ACK-Pakete an die Vorrichtung über den virtuellen IP-Raum sendet“, sagte der Befehl in ihrer Nachricht.
Die Forscher erklärten die Unterschiede im Verhalten der verschiedenen Betriebssysteme und gaben als Beispiel an, dass dieser Angriff gegen MacOS/iOS-Geräte nicht funktioniert. Stattdessen muss der Angreifer „einen offenen Port auf der Apple-Maschine verwenden, um die virtuelle IP-Adresse zu identifizieren.
Die Tests verwendeten „Port 5223, der für iCloud, iMessage, FaceTime, Game Center, Photo Stream, Push-Benachrichtigungen, etc. verwendet wird“.Forscher haben die Schwachstelle für die folgenden Betriebssysteme getestet und erfolgreich genutzt:
- Ubuntu 19.10 (systemd)
- Fedora (systemd)
- Debian 10.2 (systemd)
- Arch 2019.05 (systemd)
- Manjaro 18.1.1 (systemd)
- Devuan (sysV init)
- MX Linux 19 (Mepis+antiX)
- Void Linux (runit)
- Slackware 14.2 (rc.d)
- Deepin (rc.d)
- FreeBSD (rc.d)
- OpenBSD (rc.d)
Aber sie glauben, dass diese Liste so lange fortgesetzt werden kann, wie die Forscher die Mängel an anderen Systemen testen.
„Die meisten der von uns getesteten Linux-Distributionen waren verwundbar, insbesondere die Linux-Distributionen, die eine Version des nach dem 28. November letzten Jahres veröffentlichten Systems verwendeten, das die Rückwärtsfilterung deaktivierte“, sagten die Forscher.
„Wir haben jedoch kürzlich festgestellt, dass der Angriff auch gegen IPv6 funktioniert, so dass die Aktivierung der Rückwärtsfilterung keine praktikable Lösung ist.“
Wenn möglich, schlugen die Forscher vor, die Rückwärtspfadfilterung zu aktivieren, Falschpfadfilterung zu implementieren und die Größe und Zeit der Pakete zu verschlüsseln, so dass Angreifer keine Schlüsse ziehen können.
Obwohl die Forscher die technischen Details der Schwachstelle noch nicht offengelegt haben, planen sie, eine detaillierte Analyse dieser Schwachstelle und ihrer Folgen zu veröffentlichen, nachdem die Anbieter Systemd, Google, Apple, OpenVPN, WireGuard und verschiedene Linux-Distributionen zufriedenstellende Umgehungen und Korrekturen veröffentlichen.
