CVE-2019-14899 sizə təsir edirmi? Nüvə üçün yoxlama siyahısı

Skanner illərdir VPN işlədən maşında CVE-2019-14899 aşkarlayır və ilk instinkt VPN-i sınıq elan etmək olur. Bu yanlış çərçivədir. Açıqlanan məsələ qurbanın yerli şəbəkəsindəki təcavüzkarın müəyyən TCP bağlantıları haqqında məlumat çıxarmasına aiddir, veb saytın tunelinizi deşifrə etməsinə deyil.

Aşağıdakı dörd yoxlamanı ardıcıllıqla keçin. Hər biri ya problemi daraldır, ya da araşdırmanı bitirir.

Yoxlama 1: məsləhət nüvənizi əhatə edirmi

Öz distributivinizin qeydinə baxın, hansısa bloqun buraxılış tarixi xülasəsinə deyil. Bu CVE üçün Ubuntu təhlükəsizlik səhifəsi 18.04 LTS üçün ümumi linux paketini düzəliş təxirə salınmaqla zəif kimi göstərir və digər nüvə paketlərini ayrı sətirlərdə izləyir. İşlədiyiniz buraxılışı və nüvə paketini düzgün sətirlə uyğunlaşdırın. Tanış görünən versiya nömrəsi uyğunluq deyil.

Skanner nəticəsi identifikatorun inventarınızdakı nəyəsə aid olduğunu bildirir. Qonşu cihazın maşını istismar etdiyini bildirmir.

Yoxlama 2: modeldə təcavüzkar kimdir

Təhdid modeli qurbanın giriş şəbəkəsi ilə qarşılıqlı əlaqə qura bilən qonşu təcavüzkarı nəzərdə tutur. Bu konkret mövqedir, çıxış qovşağınızı sevməyən təsadüfi uzaq xidmət deyil. İstifadəçilər kafedən qoşulursa fərziyyə realdır; idarə olunan korporativ yerli şəbəkənin arxasındadırlarsa, bu başqa söhbətdir.

Tünel şifrələnmiş olsa da yerli şəbəkəyə etimad sualını açıq saxlayın. Şifrələmə qonşuluqdan fərqli suala cavab verir.

Yoxlama 3: hansı qata güvənirsiniz

Düzgün yoxlanılmış HTTPS tətbiq qeydləri üçün öz müdafiəsini təmin edir və TLS 1.3 bu məlumatı ucdan uca təsdiqləyir. Lakin təcavüzkarın əsas TCP bağlantısını poza bilməyəcəyini vəd etmir. Beləliklə tətbiq oxumaq üçün təhlükəsiz ola bilər, amma yenə də pozula bilər və pozulma açıqlanma ilə eyni nəticə deyil. Riski qiymətləndirməzdən əvvəl bu ikisini ayırın.

Bu fərq hesabat üçün vacibdir. VPN təhlükəsiz deyil kimi qeyri-müəyyən iddianı qonşu təcavüzkarın nə müşahidə edə və ya poza biləcəyi barədə məhdud bəyanata çevirir.

Yoxlama 4: həqiqətən hansı azaltmanı tətbiq etdiniz

Açıqlama marşrutlaşdırma və filtrləmə azaltmalarını müzakirə edir və əks-marşrut filtrləməsi ilə asimmetrik marşrutlar daxil olmaqla hüdudları barədə açıqdır. Bir sysctl dəyərini hər VPN hostuna yapışdırıb həll olundu deməyin. Əks-marşrut filtrləməsi marşrutlaşdırma ilə qarşılıqlı təsirdədir, ona görə bir topologiyaya kömək edən dəyər digərini poza bilər.

Yoxlama əmrdir, işarələmə qutusu deyil. sysctl net.ipv4.conf.all.rp_filter qlobal dəyəri göstərir, sysctl net.ipv4.conf.tun0.rp_filter isə faktiki tətbiq olunan interfeys üzrə dəyəri göstərir. Hər hansı dəyişiklikdən əvvəl və sonra ikisini də oxuyun.

Distributiv təlimatından və öz marşrut dizaynınızdan istifadə edin, sonra parametri tuneli daşıyan interfeysdə təsdiqləyin, heç kimin yükləmədiyi faylda deyil.

Nəyi qeyd etməli

Qonşu təcavüzkar fərziyyəsini, işləyən nüvə paketini, uyğunlaşdırdığınız məsləhət sətrini, tətbiq etdiyiniz azaltmanı və harada tətbiq olunduğunu, həmçinin mövcud tətbiq müdafiələrini qeyd edin. Məsləhəti yoxladığınız tarixi əlavə edin, çünki o səhifələr dəyişir. Bu birləşmə müdafiə oluna bilən qiymətləndirmədir.

OS buraxılış tarixi və işləyən VPN bağlantısı qiymətləndirmə deyil. Onlar təsadüfən asanlıqla toplanan iki faktdır.