Je li vas zahvatio CVE-2019-14899? Popis za provjeru jezgre

Skener označi CVE-2019-14899 na stroju koji godinama rabi VPN, a prva je reakcija proglasiti VPN pokvarenim. To je pogrešan okvir. Objavljeni se problem odnosi na napadača u lokalnoj mreži žrtve koji zaključuje podatke o pojedinim TCP vezama, a ne na web-lokaciju koja dešifrira vaš tunel.

Prođite četiri provjere u nastavku redom. Svaka ili sužava problem ili završava istragu.

Provjera 1: obuhvaća li savjet vašu jezgru

Potražite vlastiti zapis svoje distribucije, a ne sažetak bloga o datumu izdanja. Sigurnosna stranica Ubuntua za ovaj CVE navodi generički paket linux za 18.04 LTS ranjivim uz odgođenu ispravku te prati ostale pakete jezgre u zasebnim recima. Uparite izdanje koje rabite i paket jezgre s ispravnim retkom. Poznat broj inačice nije podudaranje.

Pogodak skenera znači da se identifikator odnosi na nešto u vašem popisu imovine. Ne znači da je susjedni uređaj iskoristio stroj.

Provjera 2: tko je napadač u modelu

Model prijetnje pretpostavlja susjednog napadača koji može djelovati na pristupnoj mreži žrtve. Riječ je o određenom položaju, a ne o bilo kojoj udaljenoj usluzi kojoj se ne sviđa vaš izlazni čvor. Ako se korisnici spajaju iz kafića, pretpostavka je realna; ako su iza upravljane korporativne lokalne mreže, to je drugi razgovor.

Pitanje povjerenja u lokalnu mrežu ostavite otvorenim čak i kad je tunel šifriran. Šifriranje odgovara na drukčije pitanje od susjedstva.

Provjera 3: na koji se sloj oslanjate

Ispravno provjeren HTTPS pruža vlastitu zaštitu zapisa aplikacije, a TLS 1.3 autentificira te podatke od kraja do kraja. Ne obećava da napadač ne može prekinuti temeljnu TCP vezu. Aplikacija stoga može biti sigurna za čitanje, ali i prekidiva, a prekid nije isti ishod kao otkrivanje. Razdvojite to prije procjene rizika.

Ta je razlika važna za izvještaj. Ona nejasnu tvrdnju da je VPN nesiguran pretvara u ograničenu izjavu o tome što bi susjedni napadač mogao primijetiti ili prekinuti.

Provjera 4: koju ste mjeru ublažavanja doista primijenili

Objava raspravlja o mjerama usmjeravanja i filtriranja te je izričita o njihovim granicama, uključujući filtriranje povratnog puta i asimetrične rute. Nemojte zalijepiti jednu vrijednost sysctl na svako VPN računalo i nazvati to riješenim. Filtriranje povratnog puta djeluje zajedno s usmjeravanjem, pa vrijednost koja pomaže jednoj topologiji može pokvariti drugu.

Provjera je naredba, a ne potvrdni okvir. sysctl net.ipv4.conf.all.rp_filter prikazuje globalnu vrijednost, a sysctl net.ipv4.conf.tun0.rp_filter prikazuje vrijednost po sučelju koja doista vrijedi. Pročitajte obje prije i nakon svake promjene.

Rabite smjernice distribucije i vlastiti dizajn usmjeravanja, a zatim potvrdite postavku na sučelju koje nosi tunel, a ne u datoteci koju nitko nije učitao.

Što zapisati

Zapišite pretpostavku o susjednom napadaču, paket jezgre koji radi, redak savjeta koji ste uparili, primijenjenu mjeru i mjesto primjene te postojeće zaštite aplikacije. Dodajte datum kada ste provjerili savjet jer se te stranice mijenjaju. Taj je spoj obranjiva procjena.

Datum izdanja OS-a i radna VPN veza nisu procjena. To su dvije činjenice koje je slučajno lako prikupiti.