Sidd Dir vun CVE-2019-14899 betraff? Eng Checkliste fir de Kernel

E Scanner markéiert CVE-2019-14899 op enger Maschinn, déi zënter Joren e VPN bedreift, an den éischten Instinkt ass de VPN als futti ze bezeechnen. Dat ass de falsche Kader. De verëffentlechte Problem betrëfft en Ugräifer am lokalen Netz vum Affer, deen Informatiounen iwwer bestëmmt TCP-Verbindungen ofleet, net eng Websäit, déi Ären Tunnel dechiffréiert.

Gitt déi véier Kontrollen hei ënnen an der Rei duerch. Alleng eng entweeder verengt de Problem oder hält d’Enquête op.

Kontroll 1: deckt den Avis Äre Kernel of

Sicht de propre Register vun Ärer Distributioun, net d’Zesummefaassung vun engem Blog iwwer en Verëffentlechungsdatum. D’Sécherheetssäit vun Ubuntu fir dës CVE lëscht de generesche linux-Paket fir 18.04 LTS als vulnérabel mat opgeschobener Korrektur, an et suivéiert aner Kernelpaketen op getrennten Zeilen. Passt Är lafend Versioun an Äre Kernelpaket op déi richteg Zeil un. Eng vertraut wierkend Versiounsnummer ass keng Iwwereneestëmmung.

En Treffer vum Scanner heescht, datt den Identifiant op eppes an Ärem Inventaire zoutrëfft. Et heescht net, datt en Nopesch-Apparat d’Maschinn ausgenotzt huet.

Kontroll 2: wien ass den Ugräifer am Modell

Den Drohungsmodell geet vun engem ugrenzenden Ugräifer aus, deen mat dem Zougangsnetz vum Affer interagéiere kann. Dat ass eng bestëmmt Positioun, net en arbiträr Remote-Service, deem Ären Ausgangsknuet net gefällt. Wa Benotzer aus engem Café verbannen, ass d’Annahm realistesch; wa se hannert engem geréierten Firmen-LAN sëtzen, ass et eng aner Diskussioun.

Halt d’Fro vum Vertrauen an d’lokalem Netz op, och wann den Tunnel verschlësselt ass. Verschlësselung äntwert op eng aner Fro wéi Noperschaft.

Kontroll 3: op wéi eng Schicht verloosst Dir Iech

Richteg validéierten HTTPS bitt seng eege Schutz fir Applikatiounsrecords, an TLS 1.3 authentifizéiert dës Donnéeën vun Enn zu Enn. Et versprécht net, datt en Ugräifer d’Basistcp-Verbindung net ka stéieren. Eng Applikatioun kann also sécher ze liese sinn an trotzdem stéierbar, an eng Stéierung ass net dat selwecht Resultat wéi eng Offenbarung. Trennt déi zwee, ier Dir de Risiko bewäert.

Dës Ënnerscheedung ass wichteg fir de Bericht. Si verwandelt eng vag Behauptung, de VPN wier onsécher, an eng begrenzt Ausso doriwwer, wat en ugrenzenden Ugräifer hätt kënnen observéieren oder stéieren.

Kontroll 4: wéi eng Ofschwächung hutt Dir tatsächlech agesat

D’Verëffentlechung diskutéiert Routing- a Filterofschwächungen an ass explizit iwwer hir Grenzen, dorënner Ëmwee-Filterung an asymmetresch Routen. Kleeft net eng eenzeg sysctl-Wäert op all VPN-Host an nennt et geléist. Ëmwee-Filterung interagéiert mam Routing, dofir kann eng Wäert, déi enger Topologie hëlleft, eng aner briechen.

Kontroll ass eng Kommando, keen Hakekëschtchen. sysctl net.ipv4.conf.all.rp_filter weist de globalen Wäert, an sysctl net.ipv4.conf.tun0.rp_filter weist de Wäert pro Interface, deen tatsächlech gëllt. Liest béid virun an no all Ännerung.

Benotzt d’Richtlinn vun der Distributioun an Ären eegene Routing-Design, a bestätegt dann d’Astellung op der Interface, déi den Tunnel dréit, net an enger Datei, déi keen gelueden huet.

Wat opzeschreiwen

Schreift d’Annahm vum ugrenzenden Ugräifer op, de lafenden Kernelpaket, d’Avis-Zeil, déi Dir ugepasst hutt, d’Ofschwächung déi agesat gouf a wou se gëllt, an d’Applikatiounsschutze déi et gëtt. Füügt den Datum dobäi, wou Dir den Avis gepréift hutt, well déi Säiten ännere sech. Dës Kombinatioun ass eng verdeedbar Bewäertung.

En OS-Verëffentlechungsdatum an eng funktionéierend VPN-Verbindung sinn keng Bewäertung. Et sinn zwou Fakten, déi zoufälleg einfach ze sammelen.