Các giao thức đường hầm không an toàn làm lộ 4,2 triệu máy chủ, bao gồm cả VPN và bộ định tuyến
Một nghiên cứu mới đã phát hiện ra lỗ hổng bảo mật trong nhiều giao thức đường hầm có thể cho phép kẻ tấn công thực hiện nhiều loại tấn công khác nhau.
Top10VPN cho biết trong một nghiên cứu hợp tác với giáo sư và nhà nghiên cứu Mathy Vanhoef của KU Leuven: "Các máy chủ Internet chấp nhận các gói tin đường hầm mà không xác minh danh tính người gửi có thể bị tấn công để thực hiện các cuộc tấn công ẩn danh và cung cấp quyền truy cập vào mạng của họ" .
Có tới 4,2 triệu máy chủ được phát hiện dễ bị tấn công, bao gồm máy chủ VPN, bộ định tuyến gia đình ISP, bộ định tuyến internet lõi, cổng mạng di động và các nút mạng phân phối nội dung (CDN). Trung Quốc, Pháp, Nhật Bản, Hoa Kỳ và Brazil đứng đầu danh sách các quốc gia bị ảnh hưởng nhiều nhất.
Việc khai thác thành công những điểm yếu này có thể cho phép kẻ thù lợi dụng hệ thống dễ bị tấn công như một proxy một chiều, cũng như thực hiện các cuộc tấn công từ chối dịch vụ (DoS).
"Kẻ thù có thể lợi dụng các lỗ hổng bảo mật này để tạo proxy một chiều và giả mạo địa chỉ IPv4/6 nguồn", Trung tâm điều phối CERT (CERT/CC) cho biết trong một thông báo. "Các hệ thống dễ bị tấn công cũng có thể cho phép truy cập vào mạng riêng của tổ chức hoặc bị lợi dụng để thực hiện các cuộc tấn công DDoS".
Các lỗ hổng này bắt nguồn từ thực tế là các giao thức đường hầm như IP6IP6, GRE6, 4in6 và 6in4, chủ yếu được sử dụng để tạo điều kiện thuận lợi cho việc truyền dữ liệu giữa hai mạng không kết nối, không xác thực và mã hóa lưu lượng mà không có các giao thức bảo mật đầy đủ như Bảo mật giao thức Internet ( IPsec ).
Việc không có các rào cản bảo mật bổ sung sẽ mở ra viễn cảnh kẻ tấn công có thể đưa lưu lượng độc hại vào đường hầm, một biến thể của lỗ hổng đã được cảnh báo trước đó vào năm 2020 ( CVE-2020-10136 ).
Họ đã được chỉ định các mã định danh CVE sau cho các giao thức đang được đề cập -
- CVE-2024-7595 (GRE và GRE6)
- CVE-2024-7596 (Đóng gói UDP chung)
- CVE-2025-23018 (IPv4 trong IPv6 và IPv6 trong IPv6)
- CVE-2025-23019 (IPv6 trong IPv4)
Simon Migliano của Top10VPN giải thích: "Kẻ tấn công chỉ cần gửi một gói tin được đóng gói bằng một trong các giao thức bị ảnh hưởng với hai tiêu đề IP".
"Tiêu đề bên ngoài chứa IP nguồn của kẻ tấn công với IP của máy chủ dễ bị tấn công là đích. IP nguồn của tiêu đề bên trong là IP của máy chủ dễ bị tấn công chứ không phải của kẻ tấn công. IP đích là IP của mục tiêu của cuộc tấn công ẩn danh."
Do đó, khi máy chủ dễ bị tấn công nhận được gói tin độc hại, nó sẽ tự động xóa tiêu đề địa chỉ IP bên ngoài và chuyển tiếp gói tin bên trong đến đích. Với địa chỉ IP nguồn trên gói tin bên trong là địa chỉ của máy chủ dễ bị tấn công nhưng đáng tin cậy, nó có thể vượt qua các bộ lọc mạng.
Để phòng thủ, nên sử dụng IPSec hoặc WireGuard để cung cấp xác thực và mã hóa, và chỉ chấp nhận các gói tin đường hầm từ các nguồn đáng tin cậy. Ở cấp độ mạng, cũng nên triển khai lọc lưu lượng trên bộ định tuyến và hộp trung gian, thực hiện Kiểm tra gói tin sâu (DPI) và chặn tất cả các gói tin đường hầm không được mã hóa.
"Tác động đối với nạn nhân của các cuộc tấn công DoS này có thể bao gồm tắc nghẽn mạng, gián đoạn dịch vụ vì tài nguyên bị tiêu thụ bởi quá tải lưu lượng và làm sập các thiết bị mạng quá tải", Migliano cho biết. "Nó cũng mở ra cơ hội khai thác sâu hơn, chẳng hạn như các cuộc tấn công trung gian và đánh cắp dữ liệu".