FICHE CVE

CVE-2019-14899

Publiée le 2019-12-11 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Presque tous les systèmes d'exploitation majeurs, dont Linux, macOS et Android, sont affectés par cette faille dans la gestion des numéros de séquence TCP. Un attaquant présent sur votre réseau local ou contrôlant votre point d'accès Wi-Fi peut utiliser cela pour identifier l'utilisation de votre VPN et injecter des données malveillantes dans votre trafic chiffré. Bien que cela permette le détournement de connexion, l'attaquant doit être physiquement ou logiquement adjacent à votre appareil et nécessite un certain niveau d'interaction de l'utilisateur pour réussir.

CVSS 3.17.4 ÉLEVÉE

Type de faiblesse

CWE-300

Publiée2019-12-11

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueAdjacent

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability was discovered in Linux, FreeBSD, OpenBSD, MacOS, iOS, and Android that allows a malicious access point, or an adjacent user, to determine if a connected user is using a VPN, make positive inferences about the websites they are visiting, and determine the correct sequence and acknowledgement numbers in use, allowing the bad actor to inject data into the TCP stream. This provides everything that is needed for an attacker to hijack active connections inside the VPN tunnel.