CVE-2019-14899 сізге әсер ете ме? Ядроға арналған тексеру тізімі

Сканер жылдар бойы VPN іске қосып келе жатқан машинада CVE-2019-14899 белгілейді, ал бірінші түйсік VPN бұзылды деп жариялау. Бұл дұрыс емес шеңбер. Жарияланған мәселе құрбанның жергілікті желісіндегі шабуылдаушыға қатысты, ол белгілі бір TCP қосылыстары туралы ақпарат шығарады, ал веб-сайт сіздің туннеліңізді шешіп беруі емес.

Төмендегі төрт тексеруді ретімен орындаңыз. Әрқайсысы не мәселені тарылтады, не тергеуді аяқтайды.

Тексеру 1: ескерту сіздің ядроңызды қамти ма

Блогтың шығарылым күні туралы қорытындысын емес, өз дистрибутивіңіздің жазбасын қараңыз. Осы CVE үшін Ubuntu қауіпсіздік беті 18.04 LTS үшін жалпы linux бумасын түзету кейінге қалдырылған осал деп тізімдейді және басқа ядро бумаларын жеке жолдарда бақылайды. Іске қосылып тұрған шығарылымыңыз бен ядро бумасын дұрыс жолмен сәйкестендіріңіз. Таныс көрінетін нұсқа нөмірі сәйкестік емес.

Сканер нәтижесі идентификатор сіздің тізіміндегі бір нәрсеге қатысты дегенді білдіреді. Бұл көрші құрылғы машинаны пайдаланды дегенді білдірмейді.

Тексеру 2: модельде шабуылдаушы кім

Қауіп моделі құрбанның кіру желісімен әрекеттесе алатын көршілес шабуылдаушыны болжайды. Бұл нақты позиция, сіздің шығу торабын ұнатпайтын кездейсоқ қашықтағы қызмет емес. Пайдаланушылар кафеден қосылса, болжам шынайы; олар басқарылатын корпоративтік жергілікті желінің артында болса, бұл басқа әңгіме.

Туннель шифрланған кезде де жергілікті желіге сену мәселесін ашық қалдырыңыз. Шифрлау көршілестіктен өзгеше сұраққа жауап береді.

Тексеру 3: қай қабатқа сүйенесіз

Дұрыс тексерілген HTTPS қолданба жазбаларына өз қорғанысын береді, ал TLS 1.3 бұл деректерді ұшынан ұшына растайды. Бірақ ол шабуылдаушының негізгі TCP қосылысын үзе алмайтынына кепілдік бермейді. Сондықтан қолданба оқуға қауіпсіз болып, бірақ үзілуі мүмкін, ал үзу ашылумен бірдей нәтиже емес. Тәуекелді бағаламас бұрын екеуін бөліңіз.

Бұл айырмашылық есеп үшін маңызды. Ол VPN қауіпсіз емес деген бұлыңғыр тұжырымды көршілес шабуылдаушы нені бақылай немесе үзе алатыны туралы шектеулі мәлімдемеге айналдырады.

Тексеру 4: қандай жұмсарту шарасын нақты енгіздіңіз

Жарияланым маршруттау мен сүзгілеу жұмсартуларын талқылайды және олардың шектері туралы айқын айтады, соның ішінде кері жол сүзгісі мен асимметриялық маршруттар. Бір sysctl мәнін әр VPN хостқа жабыстырып, шешілді деп айтпаңыз. Кері жол сүзгісі маршруттаумен әрекеттеседі, сондықтан бір топологияға көмектесетін мән екіншісін бұзуы мүмкін.

Тексеру — бұл команда, құсбелгі емес. sysctl net.ipv4.conf.all.rp_filter жаһандық мәнді көрсетеді, ал sysctl net.ipv4.conf.tun0.rp_filter нақты қолданылатын интерфейс мәнін көрсетеді. Кез келген өзгерістен бұрын және кейін екеуін де оқыңыз.

Дистрибутив нұсқаулығын және өз маршруттау дизайныңызды пайдаланыңыз, содан кейін параметрді туннельді тасымалдайтын интерфейсте растаңыз, ешкім жүктемеген файлда емес.

Не жазып қою керек

Көршілес шабуылдаушы болжамын, жұмыс істеп тұрған ядро бумасын, сәйкестендірілген ескерту жолын, енгізілген жұмсарту шарасын және оның қолданылу орнын, сондай-ақ бар қолданбалы қорғаныстарды жазып қойыңыз. Ескертуді тексерген күнді қосыңыз, өйткені бұл беттер өзгереді. Бұл үйлесім қорғауға болатын бағалау болып табылады.

ОЖ шығарылым күні мен жұмыс істеп тұрған VPN қосылысы бағалау емес. Бұл кездейсоқ жинауға оңай екі факт.