Er du ramt af CVE-2019-14899? En tjekliste til kernen

En scanner markerer CVE-2019-14899 på en maskine, der har kørt VPN i årevis, og den første indskydelse er at kalde VPN’en brudt. Det er den forkerte ramme. Det offentliggjorte problem handler om en angriber på offerets lokalnet, som udleder oplysninger om bestemte TCP-forbindelser, ikke om et websted, der dekrypterer din tunnel.

Gå gennem de fire kontroller nedenfor i rækkefølge. Hver af dem indsnævrer problemet eller afslutter undersøgelsen.

Kontrol 1: dækker rådet din kerne

Slå din distributions egen registrering op, ikke et blogs resumé af en udgivelsesdato. Ubuntus sikkerhedsside for denne CVE angiver den generiske linux-pakke til 18.04 LTS som sårbar med rettelsen udskudt og følger andre kernepakker på separate rækker. Match din kørende udgivelse og kernepakke til den rigtige række. Et versionsnummer, der ser bekendt ud, er ikke et match.

Et scannertræf betyder, at identifikatoren gælder for noget i din oversigt. Det betyder ikke, at en naboenhed har udnyttet maskinen.

Kontrol 2: hvem er angriberen i modellen

Trusselsmodellen forudsætter en tilstødende angriber, som kan interagere med offerets adgangsnetværk. Det er en bestemt position, ikke en vilkårlig fjertjeneste, der ikke kan lide din udgangsknude. Hvis brugerne forbinder fra en café, er antagelsen realistisk; hvis de sidder bag et administreret virksomhedslokalnet, er det en anden samtale.

Hold spørgsmålet om tillid til lokalnettet åbent, selv når tunnelen er krypteret. Kryptering besvarer et andet spørgsmål end naboskab.

Kontrol 3: hvilket lag stoler du på

Korrekt valideret HTTPS giver sin egen beskyttelse af applikationsposter, og TLS 1.3 autentificerer disse data ende til ende. Det lover ikke, at en angriber ikke kan afbryde den underliggende TCP-forbindelse. En applikation kan derfor være sikker at læse og stadig afbrydelig, og afbrydelse er ikke samme resultat som afsløring. Adskil de to, før du vurderer risikoen.

Den sondring er vigtig for rapporten. Den forvandler en vag påstand om, at VPN’en er usikker, til et afgrænset udsagn om, hvad en tilstødende angriber kunne observere eller afbryde.

Kontrol 4: hvilken afhjælpning har du faktisk udrullet

Offentliggørelsen drøfter rute- og filtreringsafhjælpning og er tydelig om deres grænser, herunder omvendt stifiltrering og asymmetriske ruter. Klistr ikke én sysctl-værdi på hver VPN-vært og kald det løst. Omvendt stifiltrering samvirker med rutning, så en værdi, der hjælper én topologi, kan ødelægge en anden.

Verifikation er en kommando, ikke et afkrydsningsfelt. sysctl net.ipv4.conf.all.rp_filter viser den globale værdi, og sysctl net.ipv4.conf.tun0.rp_filter viser den per-grænsefladeværdi, der faktisk gælder. Læs begge før og efter enhver ændring.

Brug distributionens vejledning og dit eget rutningsdesign, og bekræft derefter indstillingen på den grænseflade, der bærer tunnelen, ikke i en fil, ingen har indlæst.

Hvad du skal skrive ned

Noter antagelsen om tilstødende angriber, den kørende kernepakke, den rådsrække du matchede, den udrullede afhjælpning og hvor den er anvendt, samt de applikationsbeskyttelser, der er på plads. Tilføj datoen, hvor du kontrollerede rådet, fordi de sider ændrer sig. Den kombination er en forsvarlig vurdering.

En OS-udgivelsesdato og en fungerende VPN-forbindelse er ikke en vurdering. Det er to fakta, som tilfældigvis er nemme at indsamle.