Érinti Önt a CVE-2019-14899? Ellenőrzőlista a kernelhez

Egy szkenner CVE-2019-14899-et jelez egy gépen, amely évek óta VPN-t használ, és az első ösztön a VPN hibásnak nyilvánítása. Ez rossz keret. A nyilvánosságra hozott probléma egy, az áldozat helyi hálózatán lévő támadóról szól, aki bizonyos TCP-kapcsolatokról következtet információt, nem egy webhelyről, amely visszafejti az alagutat.

Haladjon végig a négy ellenőrzésen sorrendben. Mindegyik vagy szűkíti a problémát, vagy lezárja a vizsgálatot.

1. ellenőrzés: lefedi-e a tanácsadó a kernelt

A saját disztribúciója nyilvántartását keresse, ne egy blog összefoglalóját a kiadási dátumról. Az Ubuntu biztonsági oldala ehhez a CVE-hez az 18.04 LTS általános linux csomagját sebezhetőként listázza, a javítás elhalasztásával, és más kernelcsomagokat külön sorokban követ. Párosítsa a futó kiadást és a kernelcsomagot a megfelelő sorral. Az ismerősnek tűnő verziószám nem egyezés.

A szkenner találata azt jelenti, hogy az azonosító a leltárában lévő valamire vonatkozik. Nem jelenti, hogy egy szomszédos eszköz kihasználta a gépet.

2. ellenőrzés: ki a támadó a modellben

A fenyegetésmodell szomszédos támadót feltételez, aki az áldozat hozzáférési hálózatával tud működni. Ez meghatározott pozíció, nem egy tetszőleges távoli szolgáltatás, amelynek nem tetszik a kilépő csomópontja. Ha a felhasználók kávézóból csatlakoznak, a feltevés valószerű; ha kezelt vállalati helyi hálózat mögött vannak, az más beszélgetés.

Tartsa nyitva a helyi hálózatba vetett bizalom kérdését akkor is, ha az alagút titkosított. A titkosítás más kérdésre válaszol, mint a szomszédosság.

3. ellenőrzés: melyik rétegre támaszkodik

A helyesen érvényesített HTTPS saját védelmet ad az alkalmazásrekordokhoz, és a TLS 1.3 végponttól végpontig hitelesíti ezeket az adatokat. Nem ígéri, hogy a támadó nem szakíthatja meg az alatta lévő TCP-kapcsolatot. Egy alkalmazás tehát lehet biztonságos olvasásra, mégis megszakítható, és a megszakítás nem ugyanaz az eredmény, mint a felfedés. Válassza szét a kettőt, mielőtt a kockázatot értékeli.

Ez a megkülönböztetés fontos a jelentéshez. A homályos állítást, hogy a VPN nem biztonságos, korlátozott kijelentéssé alakítja arról, mit figyelhetett meg vagy szakíthatott meg egy szomszédos támadó.

4. ellenőrzés: milyen enyhítést telepített valójában

A nyilvánosságra hozatal az útválasztási és szűrési enyhítéseket tárgyalja, és egyértelmű a korlátairól, beleértve a fordított útvonal szűrését és az aszimmetrikus útvonalakat. Ne ragasszon egy sysctl-értéket minden VPN-gazdagépre, és ne mondja, hogy megoldódott. A fordított útvonal szűrése együtt hat az útválasztással, ezért az egyik topológiát segítő érték elronthat egy másikat.

Az ellenőrzés parancs, nem jelölőnégyzet. A sysctl net.ipv4.conf.all.rp_filter a globális értéket mutatja, a sysctl net.ipv4.conf.tun0.rp_filter pedig a ténylegesen érvényes, interfészenkénti értéket. Mindkettőt olvassa el bármilyen változtatás előtt és után.

Használja a disztribúció útmutatását és a saját útválasztási tervét, majd erősítse meg a beállítást azon az interfészen, amely az alagutat hordozza, ne egy olyan fájlban, amelyet senki nem töltött be.

Mit írjon le

Jegyezze fel a szomszédos támadó feltevését, a futó kernelcsomagot, a párosított tanácsadói sort, a telepített enyhítést és annak alkalmazási helyét, valamint a meglévő alkalmazásvédelmeket. Adja hozzá a dátumot, amikor ellenőrizte a tanácsadót, mert azok az oldalak változnak. Ez a kombináció védhető értékelés.

Az OS kiadási dátuma és egy működő VPN-kapcsolat nem értékelés. Két tény, amelyeket véletlenül könnyű összegyűjteni.