Defecto en DHCP 'TunnelVision' permite a atacantes evadir VPNs y redirigir tráfico

-

La técnica TunnelVision aprovecha una falla de diseño en el protocolo DHCP para redirigir el tráfico de usuarios que utilizan VPN hacia redes no confiables. El ataque explota la falta de autenticación en la Opción 121, permitiendo que los datos fluyan fuera del túnel cifrado sin alertar al usuario.

Diagrama técnico mostrando tráfico de red siendo desviado de un túnel VPN por un servidor DHCP.

La técnica TunnelVision permite a actores de amenazas evadir túneles VPN mediante la manipulación de tablas de enrutamiento. Este ataque afecta a usuarios que confían en VPNs para navegar en redes no confiables, ya que la vulnerabilidad reside en el mecanismo de enrutamiento IP subyacente y no en el proveedor o la implementación específica de la VPN. El método se basa en la explotación de la CVE-2024-3661.

Mecanismo de la vulnerabilidad y el Efecto de Desenmascarado

La vulnerabilidad CVE-2024-3661 es una falla de diseño en DHCP donde las opciones de ruta estática sin clases (Opción 121) no cuentan con mecanismos de autenticación. Debido a esta falta de validación, un atacante puede manipular estas directivas para redirigir el tráfico. El riesgo principal es el "Efecto de Desenmascarado": el sistema de la víctima muestra una conexión VPN activa y segura, mientras que el tráfico real es desviado hacia un servidor DHCP controlado por el atacante.

"Este aspecto furtivo hace que el ataque sea particularmente peligroso ya que los usuarios creen que sus comunicaciones son seguras cuando no lo son", dijo Callie Guenther, gerente sénior de investigación de amenazas en Critical Start.

Impacto en la infraestructura de red

Al utilizar la Opción 121, el tráfico que debería estar protegido por la VPN es redirigido al servidor DHCP. Dado que el ataque ocurre a nivel de protocolo de red, la mayoría de los sistemas VPN basados en enrutamiento IP son susceptibles. Esta técnica es especialmente crítica para usuarios en situaciones de riesgo, como periodistas o disidentes políticos, que dependen de la VPN como capa de seguridad principal en entornos hostiles.

Por qué importa y qué hacer

El riesgo de TunnelVision radica en que crea una falsa sensación de seguridad; el usuario y el personal de IT pueden ver una conexión VPN activa mientras los datos viajan por rutas no seguras. Para mitigar este riesgo en entornos corporativos y personales, se deben aplicar las siguientes medidas:

  • Actualice el software de VPN regularmente para aplicar parches de seguridad.
  • Habilite las funciones de interruptor de seguridad (kill switch) en el cliente de VPN para evitar fugas de tráfico.

Relacionado:
Nueva vulnerabilidad de día cero en Cisco SD-WAN (CVE-2026-76504)
SectopRAT regresa ocultándose dentro de una aplicación legítima
Cisco revela vulnerabilidades zero-day en la autenticación de APIs

Fuente:
https://www.scmagazine.com/news/tunnelvision-dhcp-flaw-lets-attackers-bypass-vpns-redirect-traffic

Nota elaborada por Ciberseguridad en español a partir de información publicada por Scmagazine. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.

Comentarios

Publicar un comentario

Entradas más populares de este blog

ANCI investiga presunta filtración masiva de datos que afectaría a la Tesorería General de la República, al Registro Civil y a la ClaveÚnica

-
Santiago, 2 de mayo de 2026. — La Agencia Nacional de Ciberseguridad (ANCI) confirmó que se encuentra analizando reportes de una presunta actividad maliciosa que comprometería sistemas de organismos del Estado y operadores de telecomunicaciones en Chile, luego de que la firma de inteligencia cibernética VECERT Analyzer alertara públicamente sobre una brecha de alto impacto dirigida contra la Tesorería General de la República (TGR), el Registro Civil y servicios asociados a la ClaveÚnica. El actor de amenaza identificado bajo el alias "rutify" habría difundido en grupos especializados de Telegram registros que sugieren la filtración de datos sensibles durante las últimas 48 horas, según la alerta original publicada por VECERT en su cuenta oficial de X. Qué denuncia el reporte de VECERT De acuerdo con el análisis técnico difundido por la firma, las muestras filtradas corresponderían a solicitud...
Leer más

Atacantes calientan refrigeradores de supermercados franceses hasta 50°C

-
Imagen
Un ciberataque contra controladores de refrigeración de la empresa Danfoss afectó a cientos de supermercados en Francia, elevando la temperatura de los equipos hasta los 50°C. El incidente provocó la pérdida masiva de alimentos y activó alertas de seguridad por el uso de dispositivos con firmware desactualizado expuestos a internet. Durante la noche del 11 de octubre, actores de amenazas tomaron el control de sistemas de refrigeración en cientos de supermercados franceses. El ataque afectó específicamente a controladores de la empresa Danfoss, los cuales fueron manipulados para activar el modo de descongelación y elevar la temperatura de los productos hasta los 50°C. La cadena Intermarché, por ejemplo, reportó la pérdida de inventarios debido a este incidente. Dispositivos afectados y vulnerabilidades El ataque impactó a dos series de controladores antiguos: el AK-SM 800 y el AK-SC 355. Danfoss confirmó que el AK-SM 800 finalizó su vida útil en mayo de 2021 y el AK-SC 355 fue reti...
Leer más

Phishing-como-un-Servicio se Vuelve Más Inteligente: Microsoft Alerta sobre Ataques AiTM

-
Imagen
Microsoft advirtió que crecen las plataformas de phishing como servicio con técnicas de adversario en el medio (AiTM), capaces de eludir la MFA robando cookies de sesión. Servicios ya existentes como PerSwaysion también incorporaron estas capacidades. El equipo de Inteligencia de Amenazas de Microsoft alertó, en una serie de publicaciones en X, sobre el aumento de los kits de phishing de adversario en el medio (AiTM) que se ofrecen dentro del modelo de phishing como servicio (PhaaS). Además de que aparecen plataformas nuevas con esta capacidad, servicios ya establecidos, como PerSwaysion, la están agregando. El resultado, según Microsoft, es que los atacantes pueden montar campañas a gran escala orientadas a saltarse la autenticación multifactor. Dos formas de ponerse en el medio Los kits AiTM funcionan de dos maneras. La primera usa un servidor proxy inverso: la página de phishing hace de intermediaria entre la víctima y el sitio legítimo, reenvía el tráfico en ambas direcciones ...
Leer más