האם CVE-2019-14899 משפיע עליכם? רשימת בדיקה לליבה

סורק מסמן CVE-2019-14899 במכונה שמפעילה VPN כבר שנים, והדחף הראשון הוא להכריז שה-VPN שבור. זו המסגרת הלא נכונה. הנושא שנחשף עוסק בתוקף ברשת המקומית של הקורבן שמסיק מידע על חיבורי TCP מסוימים, ולא באתר שמפענח את המנהרה שלכם.

עברו על ארבע הבדיקות שלהלן לפי הסדר. כל אחת או מצמצמת את הבעיה או מסיימת את החקירה.

בדיקה 1: האם ההתראה מכסה את הליבה שלכם

חפשו את הרשומה של ההפצה שלכם, לא תקציר של בלוג על תאריך שחרור. דף האבטחה של Ubuntu ל-CVE הזה מפרט את חבילת ה-linux הגנרית ל-18.04 LTS כפגיעה עם תיקון שנדחה, ועוקב אחר חבילות ליבה אחרות בשורות נפרדות. התאימו את הגרסה שאתם מריצים ואת חבילת הליבה לשורה הנכונה. מספר גרסה שנראה מוכר אינו התאמה.

תוצאת סורק משמעה שהמזהה חל על משהו במלאי שלכם. היא אינה משמעה שמכשיר שכן ניצל את המכונה.

בדיקה 2: מי התוקף במודל

מודל האיום מניח תוקף סמוך שיכול לתקשר עם רשת הגישה של הקורבן. זהו מיקום מסוים, לא שירות מרוחק אקראי שלא אוהב את צומת היציאה שלכם. אם משתמשים מתחברים מבית קפה, ההנחה ריאלית; אם הם יושבים מאחורי רשת מקומית ארגונית מנוהלת, זה דיון אחר.

השאירו פתוחה את שאלת האמון ברשת המקומית גם כשהמנהרה מוצפנת. הצפנה עונה על שאלה אחרת מזו של סמיכות.

בדיקה 3: באיזה שכבה אתם נשענים

HTTPS מאומת כראוי מספק הגנה משלו לרשומות יישום, ו-TLS 1.3 מאמת את הנתונים מקצה לקצה. הוא אינו מבטיח שתוקף לא יוכל לקטוע את חיבור ה-TCP שמתחת. לכן יישום יכול להיות בטוח לקריאה ועדיין ניתן לקטיעה, וקטיעה אינה אותה תוצאה כמו חשיפה. הפרידו בין השניים לפני שאתם מדרגים את הסיכון.

ההבחנה הזו חשובה לדוח. היא הופכת טענה מעורפלת שה-VPN אינו מאובטח להצהרה תחומה על מה שתוקף סמוך יכול היה לצפות בו או לקטוע.

בדיקה 4: איזה מיתון באמת פרסתם

החשיפה דנה באמצעי מיתון של ניתוב וסינון ומפורשת לגבי גבולותיהם, כולל סינון נתיב הפוך ונתיבים לא סימטריים. אל תדביקו ערך sysctl אחד על כל מארח VPN ותכריזו שזה תוקן. סינון נתיב הפוך פועל יחד עם הניתוב, ולכן ערך שעוזר לטופולוגיה אחת יכול לשבור אחרת.

בדיקה היא פקודה, לא תיבת סימון. sysctl net.ipv4.conf.all.rp_filter מציג את הערך הגלובלי, ו-sysctl net.ipv4.conf.tun0.rp_filter מציג את הערך לפי ממשק שבאמת חל. קראו את שניהם לפני ואחרי כל שינוי.

השתמשו בהנחיות ההפצה ובתכנון הניתוב שלכם, ואז אשרו את ההגדרה בממשק שנושא את המנהרה, לא בקובץ שאיש לא טען.

מה לתעד

תעדו את הנחת התוקף הסמוך, את חבילת הליבה הפועלת, את שורת ההתראה שהתאמתם, את המיתון שנפרס והיכן הוא מיושם, ואת הגנות היישום הקיימות. הוסיפו את התאריך שבו בדקתם את ההתראה, כי הדפים האלה משתנים. השילוב הזה הוא הערכה ניתנת להגנה.

תאריך שחרור של מערכת הפעלה וחיבור VPN עובד אינם הערכה. אלה שתי עובדות שבמקרה קל לאסוף.