CVE-2019-14899 сизге таасир эттиби? Ядро үчүн текшерүү тизмеси
Билдирилген чабуул коңшу тармактагы чабуулчуну жана хосттун белгилүү тармактык конфигурациясын талап кылган. Эскертүү сабын, ядро пакетин жана сиздин жумшартуу чараңызды текшериңиз.
Сканер жылдар бою VPN иштетип келген машинада CVE-2019-14899 белгилейт, жана биринчи сезим VPN бузулду деп жарыялоо. Бул туура эмес алкак. Жарыяланган маселе курмандыктын жергиликтүү тармагындагы чабуулчуга тиешелүү, ал белгилүү TCP байланыштары тууралуу маалымат чыгарат, ал эми веб-сайт сиздин туннелди чечмелеши эмес.
Төмөнкү төрт текшерүүнү тартиби менен аткарыңыз. Ар бири же маселени тарылтат, же иликтөөнү бүтүрөт.
Текшерүү 1: эскертүү сиздин ядроңузду камтыйбы
Блогдун чыгарылыш датасы тууралуу корутундусун эмес, өз дистрибутивиңиздин жазуусун караңыз. Бул CVE үчүн Ubuntu коопсуздук бети 18.04 LTS үчүн жалпы linux пакетин оңдоо кийинкиге калтырылган алсыз деп тизмелейт жана башка ядро пакеттерин өзүнчө саптарда көзөмөлдөйт. Иштеп жаткан чыгарылышыңызды жана ядро пакетин туура сапка дал келтириңиз. Тааныш көрүнгөн версия номери дал келүү эмес.
Сканердин натыйжасы идентификатор сиздин тизмеңиздеги бир нерсеге тиешелүү дегенди билдирет. Бул коңшу түзмөк машинаны колдонду дегенди билдирбейт.
Текшерүү 2: моделде чабуулчу ким
Коркунуч моделы курмандыктын кирүү тармагы менен аракеттене алган коңшу чабуулчуну болжолдойт. Бул белгилүү позиция, сиздин чыгуу түйүнүңүздү жактырбаган каалаган алыскы кызмат эмес. Колдонуучулар кафеден туташса, божомол реалдуу; алар башкарылуучу корпоративдик жергиликтүү тармактын артында болсо, бул башка сүйлөшүү.
Туннель шифрленген учурда да жергиликтүү тармакка ишенүү маселесин ачык калтырыңыз. Шифрлөө коңшулуктан башка суроого жооп берет.
Текшерүү 3: кайсы катмарга таянасыз
Туура текшерилген HTTPS колдонмо жазууларына өз коргоосун берет, ал эми TLS 1.3 бул дайындарды учтан учка тастыктайт. Бирок чабуулчу негизги TCP байланышын үзө албастыгына кепилдик бербейт. Ошондуктан колдонмо окууга коопсуз болуп, бирок үзүлүшү мүмкүн, жана үзүү ачыкка чыгаруу менен бирдей натыйжа эмес. Тобокелдикти баалоодон мурун экөөнү бөлүңүз.
Бул айырма отчет үчүн маанилүү. Ал VPN коопсуз эмес деген бүдөмүк ырастоону коңшу чабуулчу эмнени байкай же үзө алганы тууралуу чектелген билдирүүгө айландырат.
Текшерүү 4: кайсы жумшартуу чарасын иш жүзүндө колдондуңуз
Жарыялоо маршруттоо жана фильтрлөө жумшартуу чараларын талкуулайт жана алардын чектери тууралуу ачык айтат, анын ичинде кайтарым жол фильтри жана асимметриялык маршруттар. Бир sysctl маанисин ар бир VPN хостко жабыштырып, чечилди деп айтпаңыз. Кайтарым жол фильтри маршруттоо менен аракеттенет, ошондуктан бир топологияга жардам берген маани экинчисин буза алат.
Текшерүү бул команда, белги кутучасы эмес. sysctl net.ipv4.conf.all.rp_filter глобалдык маанини көрсөтөт, ал эми sysctl net.ipv4.conf.tun0.rp_filter иш жүзүндө колдонулган интерфейстик маанини көрсөтөт. Ар кандай өзгөртүүдөн мурун жана кийин экөөнү тең окуңуз.
Дистрибутивдин көрсөтмөлөрүн жана өз маршруттоо долбооруңузду колдонуңуз, андан кийин жөндөөнү туннелди алып жүргөн интерфейсте ырастаңыз, эч ким жүктөбөгөн файлда эмес.
Эмнени жазып коюу керек
Коңшу чабуулчу божомолун, иштеп жаткан ядро пакетин, дал келтирилген эскертүү сабын, колдонулган жумшартуу чарасын жана анын колдонулуш ордун, ошондой эле бар колдонмо коргоолорун жазып коюңуз. Эскертүүнү текшерген күндү кошуңуз, анткени ал барактар өзгөрөт. Бул айкалыш коргого боло турган баалоо.
ОС чыгарылыш датасы жана иштеп жаткан VPN байланышы баалоо эмес. Булар кокустан жыйноого жеңил эки факт.