CVE-2021-3773

Wyciek informacji o endpointach OpenVPN przez błąd w netfilter (Linux Kernel)

CVSS 9.8v3.1pub. 2022-02-16upd. 2025-03-28

Błąd w podsystemie netfilter jądra Linux umożliwia zdalnemu, nieuwierzytelnionemu atakującemu uzyskanie informacji o endpointach połączeń OpenVPN. Podatność jest groźna, ponieważ ujawnione dane mogą posłużyć do przeprowadzenia dalszych ataków sieciowych na infrastrukturę VPN.

▸ Pokaż oryginał (EN)

A flaw in netfilter could allow a network-connected attacker to infer openvpn connection endpoint information for further use in traditional network attacks.

🤖 Analiza AI

Jak działa

Luka wynika z nieprawidłowego działania mechanizmu netfilter w jądrze Linux, który obsługuje filtrowanie i translację pakietów sieciowych. Atakujący połączony z siecią może wysyłać spreparowane pakiety i na podstawie różnic w odpowiedziach lub zachowaniu systemu wywnioskować informacje o endpointach aktywnych połączeń OpenVPN. Uzyskane w ten sposób dane (np. adresy IP i porty) mogą zostać następnie wykorzystane jako punkt wyjścia do tradycyjnych ataków sieciowych wymierzonych w ujawnioną infrastrukturę.

Skutki

Atakujący może uzyskać informacje o endpointach połączeń OpenVPN, co prowadzi do naruszenia poufności infrastruktury VPN i umożliwia planowanie dalszych ataków sieciowych (np. ataków ukierunkowanych na zidentyfikowane hosty lub porty).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — w szczególności aktualizacje jądra Linux opublikowane przez Red Hat (szczegóły pod numerem BZ#2004949) oraz odpowiednie poprawki dla dystrybucji Fedora i systemów Oracle. Zaleca się jak najszybsze wdrożenie dostępnych aktualizacji na wszystkich systemach eksponowanych na ruch sieciowy i korzystających z OpenVPN.

Kogo dotyczy

Linux Kernel, Fedora (Fedoraproject), Red Hat Enterprise Linux — konkretne wersje wskazane w referencjach producenta (bugzilla.redhat.com oraz oracle.com/security-alerts)

Uwagi

Podatność była przedmiotem badań zaprezentowanych przez Citizen Lab na Privacy Enhancing Technologies Symposium w 2024 roku w kontekście szerszej analizy podatności w rozwiązaniach VPN.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Fedora Project Fedora
OS
Fedoraproject
34
Linux Kernel
OS
Linux
5.15 – 5.15.15 (bez)< 5.14
Oracle Communications Cloud Native Core Binding Support Function
APP
Oracle
22.1.3
Oracle Communications Cloud Native Core Network Exposure Function
APP
Oracle
22.1.1
Oracle Communications Cloud Native Core Policy
APP
Oracle
22.2.0
Red Hat Enterprise Linux
OS
Redhat
6.07.08.0