6.2. 네트워킹
NetworkManager는 VPN 연결 프로필에서 CVE-2024-3661(TunnelVision)의 영향을 완화할 수 있습니다.
VPN 연결은 경로를 사용하여 터널을 통해 트래픽을 리디렉션합니다. 그러나 DHCP 서버에서 클래스리스 정적 경로 옵션(121)을 사용하여 클라이언트의 라우팅 테이블에 경로를 추가하고 DHCP 서버에서 전파하는 경로가 VPN과 겹치는 경우 VPN 대신 물리적 인터페이스를 통해 트래픽을 전송할 수 있습니다. CVE-2024-3661은 tunnelVision이라고도 하는 이 취약점을 설명합니다. 결과적으로 공격자는 사용자가 VPN에 의해 보호될 것으로 예상되는 트래픽에 액세스할 수 있습니다.
RHEL에서 이 문제는 LibreSwan IPSec 및 WireGuard VPN 연결에 영향을 미칩니다. ipsec-interface 및 vt-interface 속성이 모두 정의되지 않았거나 no 로 설정된 프로필과 LibreSwan IPSec 연결만 영향을 받지 않습니다.
CVE-2024-3661 문서에서는 VPN 연결 프로필을 설정하여 우선 순위가 높은 전용 라우팅 테이블에 VPN 경로를 배치하여 tunnelVision의 영향을 완화하는 단계를 설명합니다. 이 단계는 LibreSwan IPSec 및 WireGuard 연결 모두에서 작동합니다. 그러나 LibreSwan IPSec 연결 프로필에 완화 단계를 적용하려면 NetworkManager 1.40.16-18 이상을 사용해야 합니다. RHEL 8.10에서 이 버전은 RHSA-2025:0288 권고를 통해 제공됩니다.
