Ĉu CVE-2019-14899 trafas vin? Kontrola listo por la kerno

Skanilo markas CVE-2019-14899 sur maŝino, kiu uzas VPN jam jarojn, kaj la unua instinkto estas nomi la VPNon difektita. Tio estas malĝusta kadro. La publikigita afero koncernas atakanton en la loka reto de la viktimo, kiu konkludas informojn pri certaj TCP-konektoj, ne retejon, kiu malĉifras vian tunelon.

Trapasu la kvar kontrolojn sube laŭorde. Ĉiu el ili aŭ mallarĝigas la problemon aŭ finas la esploradon.

Kontrolo 1: ĉu la konsilo kovras vian kernon

Serĉu la propran registraĵon de via distribuo, ne resumon de blogo pri eldondato. La sekureca paĝo de Ubuntu por ĉi tiu CVE listigas la ĝeneralan pakaĵon linux por 18.04 LTS kiel vundeblan kun prokrastita riparo kaj spuras aliajn kernajn pakaĵojn en apartaj vicoj. Kongruigu vian ruliĝantan eldonon kaj kernan pakaĵon al la ĝusta vico. Konata aspektanta versinombro ne estas kongruo.

Trafaĵo de skanilo signifas, ke la identigilo validas por io en via inventaro. Ĝi ne signifas, ke najbara aparato ekspluatis la maŝinon.

Kontrolo 2: kiu estas la atakanto en la modelo

La minacmodelo supozas apudan atakanton, kiu povas interagi kun la alira reto de la viktimo. Tio estas specifa pozicio, ne arbitra fora servo, kiu malŝatas vian eliran nodon. Se uzantoj konektiĝas el kafejo, la supozo estas realisma; se ili sidas malantaŭ administrata entreprena loka reto, tio estas alia konversacio.

Lasu la demandon pri fido al la loka reto malfermita eĉ kiam la tunelo estas ĉifrita. Ĉifrado respondas al alia demando ol apudeco.

Kontrolo 3: sur kiu tavolo vi fidas

Ĝuste validigita HTTPS donas sian propran protekton por aplikaj rikordoj, kaj TLS 1.3 aŭtentikigas tiujn datumojn de fino al fino. Ĝi ne promesas, ke atakanto ne povas interrompi la suban TCP-konekton. Aplikaĵo do povas esti sekura por legi kaj tamen interrompebla, kaj interrompo ne estas la sama rezulto kiel malkaŝo. Apartigu la du antaŭ ol taksi la riskon.

Tiu distingo gravas por la raporto. Ĝi transformas malprecizan aserton, ke la VPN estas nesekura, en limigitan deklaron pri tio, kion apuda atakanto povus observi aŭ interrompi.

Kontrolo 4: kiun mildigon vi efektive enkondukis

La malkaŝo diskutas mildigojn de enkursigado kaj filtrado kaj estas eksplicita pri iliaj limoj, inkluzive de inversvoja filtrado kaj nesimetriaj vojoj. Ne gluu unu sysctl-valoron sur ĉiun VPN-gastiganton kaj nomu ĝin riparita. Inversvoja filtrado interagas kun enkursigado, do valoro helpanta unu topologion povas rompi alian.

Kontrolo estas komando, ne markobutono. sysctl net.ipv4.conf.all.rp_filter montras la tutmondan valoron, kaj sysctl net.ipv4.conf.tun0.rp_filter montras la valoron por interfaco, kiu efektive validas. Legu ambaŭ antaŭ kaj post ajna ŝanĝo.

Uzu la gvidadon de la distribuo kaj vian propran enkursigan dezajnon, poste konfirmu la agordon sur la interfaco portanta la tunelon, ne en dosiero, kiun neniu ŝargis.

Kion noti

Notu la supozon pri apuda atakanto, la ruliĝantan kernan pakaĵon, la konsilan vicon, kiun vi kongruigis, la enkondukitan mildigon kaj kie ĝi aplikiĝas, kaj la ekzistantajn aplikajn protektojn. Aldonu la daton, kiam vi kontrolis la konsilon, ĉar tiuj paĝoj ŝanĝiĝas. Tiu kombinaĵo estas defendebla takso.

Eldondato de operaciumo kaj funkcianta VPN-konekto ne estas takso. Ili estas du faktoj, kiuj hazarde estas facile kolekteblaj.