L2 network filtering can be bypassed using stacked VLAN0 and LLC/SNAP headers

Los sistemas de filtrado de red que verifican el tráfico en la capa 2 pueden eludirse usando paquetes con encabezados VLAN 0 apilados combinados con encabezados LLC/SNAP. Esto permite a los atacantes enviar tráfico peligroso (como anuncios de enrutador IPv6 o suplantación ARP) que las herramientas de seguridad no detectan.

Los mecanismos de filtrado en capa 2 (IPv6 RA Guard, inspección ARP) fallan en la validación adecuada de paquetes que contienen etiquetas VLAN 0 anidadas combinadas con encapsulamiento LLC/SNAP, permitiendo elusión mediante tramas Layer 2 manipuladas. Un atacante en el segmento de red local puede explotar esto para inyectar paquetes ARP o IPv6 RA no detectados, potencialmente habilitando ataques de intermediario o denegación de servicio.