Binne jo troffen troch CVE-2019-14899? In kontrolelist foar de kernel

In skener markearret CVE-2019-14899 op in masine dy’t jierren in VPN brûkt, en de earste ympuls is de VPN as stikken te ferklearjen. Dat is it ferkearde ramt. It iepenbiere probleem giet oer in oanfaller op it lokale netwurk fan’e slachtoffer dy’t ynformaasje oer beskate TCP-ferbiningen ôfliedt, net oer in webside dy’t jo tunnel ûntsiferelet.

Wurkje de fjouwer kontrôles hjirûnder yn folchoarder ôf. Elts fan’har beheint it probleem of einiget it ûndersyk.

Kontrôle 1: dekt de warskôging jo kernel

Sjoch nei de eigen registraasje fan jo distribúsje, net nei de gearfetting fan in blog oer in útjefdatum. De feiligensside fan Ubuntu foar dizze CVE listet it algemiene linux-pakket foar 18.04 LTS as kwetsber mei de repaasje útsteld, en folget oare kernelpakketten op aparte rigen. Koppelje jo rinnende ferzje en kernelpakket oan de goede rige. In ferzjenûmer dat bekend liket is gjin oerienkomst.

In skenerresultaat betsjut dat de identifikaasje jildt foar eat yn jo ynventaris. It betsjut net dat in buortastel de masine brûkt hat.

Kontrôle 2: wa is de oanfaller yn it model

It bedrigingsmodel giet út fan in oanswettende oanfaller dy’t mei it tagongsnetwurk fan’e slachtoffer omgean kin. Dat is in spesifike posysje, net in willekeurige tsjinst op ôfstân dy’t jo útgongsknooppunt net lije mei. As brûkers fan in kafee ferbine, is de oanname realistysk; as se efter in beheard bedriuwsnetwurk sitte, is it in oar petear.

Hâld de fraach oer fertrouwen yn it lokale netwurk iepen, ek as de tunnel fersifere is. Fersifering beantwurdet in oare fraach as oanswettens.

Kontrôle 3: op hokker laach fertrouwe jo

Korrekt falidearre HTTPS jout syn eigen beskerming foar tapassingsrecords, en TLS 1.3 autentisearret dy gegevens fan ein oant ein. It ûnthjit net dat in oanfaller de ûnderlizzende TCP-ferbining net ûnderbrekke kin. In tapassing kin dus feilich wêze om te lêzen en dochs ûnderbrekber, en ûnderbrekking is net itselde resultaat as iepenbaring. Skied dy twa foar’t jo it risiko beoardielje.

Dat ûnderskie is wichtich foar it ferslach. It feroaret in ûndúdlike bewearing dat de VPN ûnfeilich is yn in beheinde ferklearring oer wat in oanswettende oanfaller waarnimme of ûnderbrekke koe.

Kontrôle 4: hokker mitigearring hawwe jo eins ynset

De iepenbaring besprekt routing- en filtermitigearrings en is dúdlik oer har grinzen, wêrûnder omkearde-paadfiltrering en asymmetryske rûtes. Plak net ien sysctl-wearde op elke VPN-host en neam it oplost. Omkearde-paadfiltrering wurket gear mei routing, sadat in wearde dy’t ien topology helpt in oare brekke kin.

Kontrôle is in opdracht, net in oanfinkfakje. sysctl net.ipv4.conf.all.rp_filter toant de globale wearde, en sysctl net.ipv4.conf.tun0.rp_filter toant de wearde per ynterface dy’t eins jildt. Lês beide foar en nei elke feroaring.

Brûk de rjochtline fan’e distribúsje en jo eigen routingûntwerp, en befêstigje dan de ynstelling op it ynterface dat de tunnel draacht, net yn in bestân dat nimmen laden hat.

Wat op te skriuwen

Skriuw de oanname fan’e oanswettende oanfaller op, it rinnende kernelpakket, de warskôgingsrige dy’t jo koppele, de ynsette mitigearring en wêr’t dy tapast is, en de oanwêzige tapassingsbeskermingen. Foegje de datum ta wêrop jo de warskôging kontrolearre hawwe, want dy siden feroarje. Dy kombinaasje is in ferdigenbere beoardieling.

In OS-útjefdatum en in wurkjende VPN-ferbining binne gjin beoardieling. It binne twa feiten dy’t tafallich maklik te sammeljen binne.