Is jy geraak deur CVE-2019-14899? ’n Kernkontrolelys

’n Skandeerder merk CVE-2019-14899 op ’n masjien wat al jare lank ’n VPN gebruik, en die eerste instink is om die VPN as stukkend te verklaar. Dit is die verkeerde raamwerk. Die onthulde kwessie handel oor ’n aanvaller op die slagoffer se plaaslike netwerk wat inligting oor sekere TCP-verbindings kan aflei, nie oor ’n webwerf wat jou tonnel ontsyfer nie.

Werk die vier kontroles hieronder in volgorde deur. Elkeen vernou die probleem of beëindig die ondersoek.

Kontrole 1: dek die advies jou kern

Soek jou verspreiding se eie rekord op, nie ’n blog se opsomming van ’n vrystellingsdatum nie. Die Ubuntu-veiligheidsblad vir hierdie CVE lys die generiese linux-pakket vir 18.04 LTS as kwesbaar met die regstelling uitgestel, en dit volg ander kernpakkette op aparte rye. Pas jou lopende vrystelling en kernpakket by die regte ry. ’n Weergawenommer wat bekend lyk is nie ’n passing nie.

’n Skandeerder-treffer beteken die identifiseerder geld vir iets in jou inventaris. Dit beteken nie dat ’n naburige toestel die masjien uitgebuit het nie.

Kontrole 2: wie is die aanvaller in die model

Die bedreigingsmodel aanvaar ’n aangrensende aanvaller wat met die slagoffer se toegangsnetwerk kan werk. Dit is ’n spesifieke posisie, nie ’n willekeurige afgeleë diens wat jou uitgangsknoop nie hou nie. As gebruikers van ’n koffiewinkel af verbind, is die aanname realisties; as hulle agter ’n bestuurde korporatiewe LAN sit, is dit ’n ander gesprek.

Hou die vraag oor plaaslike-netwerkvertroue oop selfs wanneer die tonnel versleutel is. Versleuteling beantwoord ’n ander vraag as aangrensendheid.

Kontrole 3: op watter laag vertrou jy

Korrek gevalideerde HTTPS bied sy eie beskerming vir toepassingsrekords, en TLS 1.3 verifieer daardie data van punt tot punt. Dit belowe nie dat ’n aanvaller die onderliggende TCP-verbinding nie kan onderbreek nie. ’n Toepassing kan dus veilig wees om te lees terwyl dit steeds ontwrig kan word, en ontwrigting is nie dieselfde uitkoms as onthulling nie. Skei daardie twee voordat jy die risiko beoordeel.

Daardie onderskeid is belangrik vir die verslag. Dit verander ’n vae bewering dat die VPN onveilig is in ’n begrensde stelling oor wat ’n aangrensende aanvaller kon waarneem of onderbreek.

Kontrole 4: watter mitigasie het jy werklik ontplooi

Die onthulling bespreek roete- en filtermitigasies en is duidelik oor hul grense, insluitend tru-roete-filtrering en asimmetriese roetes. Moenie een sysctl-waarde op elke VPN-gasheer plak en dit dan as opgelos beskou nie. Tru-roete-filtrering werk saam met roetering, so ’n waarde wat een topologie help kan ’n ander breek.

Verifikasie is ’n opdrag, nie ’n merkblokkie nie. sysctl net.ipv4.conf.all.rp_filter wys die globale waarde, en sysctl net.ipv4.conf.tun0.rp_filter wys die per-koppelvlak waarde wat werklik geld. Lees beide voor en na enige verandering.

Gebruik die verspreidingsleiding en jou eie roeteringontwerp, en bevestig dan die instelling op die koppelvlak wat die tonnel dra, nie in ’n lêer wat niemand gelaai het nie.

Wat om neer te skryf

Teken die aangrensende-aanvaller-aanname aan, die lopende kernpakket, die adviesry wat jy gepas het, die mitigasie wat jy ontplooi het en waar dit toegepas is, en die toepassingsbeskermings wat in plek is. Voeg die datum by waarop jy die advies nagegaan het, want daardie bladsye verander. Daardie kombinasie is ’n verdedigbare assessering.

’n OS-vrystellingsdatum en ’n werkende VPN-verbinding is nie ’n assessering nie. Dit is twee feite wat toevallig maklik is om in te samel.