Search
CVE-2024-3661: TunnelVision - Podatność VPN pozwalająca zdeanonimizować ruch
We discovered a fundamental design problem in VPNs and we're calling it TunnelVision. This problem lets someone see what you're doing online, even if you think you're safely using a VPN.
![CVE-2024-3661: TunnelVision - How Attackers Can Decloak Routing-Based VPNs For a Total VPN Leak — Leviathan Security Group - Penetration Testing, Security Assessment, Risk Advisory](https://szmer.info/pictrs/image/50986186-2901-41f5-8355-aa9141561667.jpeg?format=webp&thumbnail=256)
Sprawa jest rozwojowa, a jeśli ktoś chce przejść od razu do oryginalnego zgłoszenia problemu – zapraszam tutaj. Backdoor pojawił się w wersjach 5.6.0 and 5.6.1 (xz-utils) i występuje w oficjalnych archiwach .tgz narzędzia (nie ma go w kodzie w repozytorium GitHub). Obecnie wersja 5.6.1 jest najnowsz...
![🔴 Alert. Ktoś zbackdoorował narzędzie xz (służy do kompresji/dekompresji; narzędzie jest bardzo popularne w świecie Linuksa). CVE-2024-3094](https://szmer.info/pictrs/image/c150a33c-5fc1-46d0-a718-da804681a226.jpeg?format=webp&thumbnail=256)
> Backdoor pojawił się w wersjach 5.6.0 and 5.6.1 (xz-utils) i występuje w oficjalnych archiwach .tgz narzędzia (nie ma go w kodzie w repozytorium GitHub). Obecnie wersja 5.6.1 jest najnowsza, a 5.6.0 została wypuszczona nieco ponad miesiąc temu.
> Trwa cały czas analiza backdoora, a w tym raporcie jest mowa o tym, że prawdopodobnie umożliwia on przejęcie dostępu do serwera z wykorzystaniem ssh
Problem (prawdopodobnie, trwa analiza) dotyczy dystrybucji (i pochodnych) Debian i Red Hat, backdoor nie wszedł do wersji stabilnych (np. w przypadku Debiana dotyczy unstable i testing).
Dodatkowe źródła:
- artykuł w Ars Technica [EN]
- dyskusja na Hacker News
- dyskusja na fedi
- dość porządny opis przedstawiający okoliczności i przebieg zdarzeń, wciąż aktualizowany
- blog lcamtuf-a (Michała Zalewskiego)
EDIT: Dodanie info o dotkniętych distrach i dodatkowych źródeł.