CVE-2019-14899-k eragiten dizu? Kernelarentzako kontrol-zerrenda
Jakinarazitako erasoak aldameneko sareko erasotzaile bat eta ostalari-sare konfigurazio zehatz bat behar zituen. Egiaztatu abisuaren errenkada, zure kernel paketea eta zure arintze-neurria.
Eskaner batek CVE-2019-14899 markatzen du urteak daramatzan makina batean VPN bat erabiliz, eta lehen bulkada VPN-a hondatuta dagoela esatea da. Esparru okerra da. Argitaratutako arazoa biktimaren sare lokaleko erasotzaile bati buruzkoa da, TCP konexio jakin batzuei buruzko informazioa ondorioztatzen duena, ez webgune bat zure tunela deszifratzen duena.
Egin beheko lau egiaztapenak ordenan. Bakoitzak arazoa murrizten du edo ikerketa amaitzen du.
1. egiaztapena: abisuak zure kernela hartzen al du
Begiratu zure banaketaren erregistro propioa, ez blog batek argitaratze-data bati buruzko laburpena. CVE honetarako Ubuntu segurtasun orriak 18.04 LTSrako linux pakete generikoa zaurgarri gisa zerrendatzen du konponketa atzeratuta, eta beste kernel paketeak errenkada bereizietan jarraitzen ditu. Parekatu zure exekuzio-bertsioa eta kernel paketea errenkada zuzenarekin. Ezaguna dirudien bertsio-zenbaki bat ez da bat-etortzea.
Eskaner baten emaitzak esan nahi du identifikatzailea zure inbentarioko zerbaiti aplikatzen zaiola. Ez du esan nahi aldameneko gailu batek makina ustiatu duenik.
2. egiaztapena: nor da erasotzailea ereduan
Mehatxu-ereduak aldameneko erasotzaile bat suposatzen du, biktimaren sarbide-sarearekin elkarreragin dezakeena. Posizio zehatza da, ez zure irteera-nodoa gustuko ez duen urrutiko zerbitzu arbitrarioa. Erabiltzaileak kafetegi batetik konektatzen badira, suposizioa errealista da; kudeatutako enpresa-sare lokal baten atzean badaude, beste elkarrizketa bat da.
Eduki irekita sare lokalarekiko konfiantzaren galdera, tunela zifratuta egon arren. Zifratzeak aldamenekotasunak baino galdera desberdinari erantzuten dio.
3. egiaztapena: zein geruzatan fidatzen zara
Behar bezala baliozkotutako HTTPSak bere babesa ematen die aplikazio-erregistroei, eta TLS 1.3k datu horiek muturretik muturrera autentifikatzen ditu. Ez du promesten erasotzaileak azpiko TCP konexioa eten ezin dezakeenik. Beraz, aplikazio bat segurua izan daiteke irakurtzeko eta hala ere etengarria, eta etetea ez da agerraraztea bezalako emaitza. Bereizi biak arriskua baloratu aurretik.
Bereizketa hori garrantzitsua da txostenerako. VPN-a ez da segurua dioen baieztapen lausoa aldameneko erasotzaile batek zer behatu edo eten zezakeenari buruzko adierazpen mugatu bihurtzen du.
4. egiaztapena: zein arintze-neurri zabaldu zenuen benetan
Argitalpenak bideratze- eta iragazte-neurriak aztertzen ditu eta argia da haien mugetan, alderantzizko bide-iragazketa eta bide asimetrikoak barne. Ez itsatsi sysctl balio bat VPN ostalari guztietan eta esan konponduta dagoela. Alderantzizko bide-iragazketak bideratzearekin elkarreragiten du, beraz topologia bati laguntzen dion balio batek beste bat hauts dezake.
Egiaztatzea komando bat da, ez kontrol-laukia. sysctl net.ipv4.conf.all.rp_filter balio globala erakusten du, eta sysctl net.ipv4.conf.tun0.rp_filter benetan aplikatzen den interfazearen balioa erakusten du. Irakurri biak edozein aldaketaren aurretik eta ondoren.
Erabili banaketaren jarraibideak eta zure bideratze-diseinua, eta gero berretsi ezarpena tunela daraman interfazean, inork kargatu ez duen fitxategi batean ez.
Zer idatzi
Idatzi aldameneko erasotzailearen suposizioa, exekuzioan dagoen kernel paketea, parekatu duzun abisuaren errenkada, zabaldutako arintze-neurria eta non aplikatzen den, eta dauden aplikazio-babesak. Gehitu abisua berrikusi zenuen data, orrialde horiek aldatzen baitira. Konbinazio hori defendagarria den ebaluazioa da.
OS argitaratze-data bat eta funtzionatzen duen VPN konexio bat ez dira ebaluazioa. Kasualitatez erraz biltzen diren bi gertaera dira.