Da li ste pogođeni CVE-2019-14899? Kontrolna lista za jezgro

Skener prijavi CVE-2019-14899 na mašini koja godinama koristi VPN, a prvi instinkt je proglasiti VPN pokvarenim. To je pogrešan okvir. Objavljeni problem tiče se napadača na lokalnoj mreži žrtve koji izvodi zaključke o određenim TCP vezama, a ne web stranice koja dešifruje vaš tunel.

Prođite četiri provjere ispod po redu. Svaka ili sužava problem ili završava istragu.

Provjera 1: pokriva li savjet vaše jezgro

Potražite vlastiti zapis svoje distribucije, a ne sažetak datuma izdanja s bloga. Sigurnosna stranica Ubuntua za ovaj CVE navodi generički paket linux za 18.04 LTS kao ranjiv s odgođenom ispravkom i prati druge pakete jezgra u odvojenim redovima. Uparite izdanje koje koristite i paket jezgra s pravim redom. Poznat broj verzije nije podudaranje.

Pogodak skenera znači da se identifikator odnosi na nešto u vašem inventaru. Ne znači da je susjedni uređaj iskoristio mašinu.

Provjera 2: ko je napadač u modelu

Model prijetnje pretpostavlja susjednog napadača koji može komunicirati s pristupnom mrežom žrtve. To je određena pozicija, a ne proizvoljna udaljena usluga kojoj se ne sviđa vaš izlazni čvor. Ako se korisnici povezuju iz kafića, pretpostavka je realna; ako su iza upravljane korporativne lokalne mreže, to je drugi razgovor.

Držite pitanje povjerenja u lokalnu mrežu otvorenim čak i kad je tunel šifrovan. Šifrovanje odgovara na drugo pitanje od susjedstva.

Provjera 3: na koji sloj se oslanjate

Ispravno validiran HTTPS pruža vlastitu zaštitu za zapise aplikacije, a TLS 1.3 autentificira te podatke od kraja do kraja. Ne obećava da napadač ne može prekinuti osnovnu TCP vezu. Zato aplikacija može biti sigurna za čitanje, a ipak prekidiva, i prekid nije isti ishod kao otkrivanje. Razdvojite to prije nego procijenite rizik.

Ta razlika je važna za izvještaj. Ona pretvara neodređenu tvrdnju da je VPN nesiguran u ograničenu izjavu o tome šta bi susjedni napadač mogao primijetiti ili prekinuti.

Provjera 4: koju ste mjeru zaista primijenili

Objava raspravlja o mjerama usmjeravanja i filtriranja i jasna je o njihovim granicama, uključujući filtriranje povratne putanje i asimetrične rute. Ne lijepite jednu vrijednost sysctl na svaki VPN host i ne nazivajte to riješenim. Filtriranje povratne putanje djeluje zajedno s usmjeravanjem, pa vrijednost koja pomaže jednoj topologiji može pokvariti drugu.

Provjera je komanda, a ne polje za označavanje. sysctl net.ipv4.conf.all.rp_filter pokazuje globalnu vrijednost, a sysctl net.ipv4.conf.tun0.rp_filter pokazuje vrijednost po interfejsu koja zaista važi. Pročitajte obje prije i poslije svake promjene.

Koristite smjernice distribucije i vlastiti dizajn usmjeravanja, pa potvrdite postavku na interfejsu koji nosi tunel, a ne u datoteci koju nitko nije učitao.

Šta zapisati

Zapišite pretpostavku o susjednom napadaču, paket jezgra koji radi, red savjeta koji ste uparili, primijenjenu mjeru i gdje je primijenjena, te postojeće zaštite aplikacije. Dodajte datum kad ste provjerili savjet, jer se te stranice mijenjaju. Ta kombinacija je održiva procjena.

Datum izdanja OS-a i radna VPN veza nisu procjena. To su dvije činjenice koje je slučajno lako prikupiti.