Ar jus paveikė CVE-2019-14899? Branduolio kontrolinis sąrašas
Praneštas išpuolis reikalavo užpuoliko gretimame tinkle ir konkrečios prieglobos tinklo konfigūracijos. Patikrinkite pranešimo eilutę, branduolio paketą ir savo švelninimo priemonę.
Skeneris pažymi CVE-2019-14899 kompiuteryje, kuris VPN naudoja jau metus, ir pirmoji mintis – paskelbti VPN sugedusiu. Tai neteisinga sistema. Paskelbta problema susijusi su užpuoliku vietiniame aukos tinkle, kuris daro išvadas apie tam tikrus TCP ryšius, o ne su svetaine, kuri iššifruoja jūsų tunelį.
Pereikite keturis patikrinimus žemiau iš eilės. Kiekvienas arba susiaurina problemą, arba baigia tyrimą.
Patikrinimas 1: ar pranešimas apima jūsų branduolį
Ieškokite savo distribucijos įrašo, o ne tinklaraščio santraukos apie išleidimo datą. Ubuntu saugumo puslapis šiai CVE nurodo bendrą linux paketą, skirtą 18.04 LTS, kaip pažeidžiamą su atidėtu pataisymu, ir kitus branduolio paketus seka atskirose eilutėse. Susiekite veikiančią versiją ir branduolio paketą su tinkama eilute. Pažįstamas versijos numeris nėra atitikmuo.
Skenerio radinys reiškia, kad identifikatorius taikomas kažkam jūsų inventoriuje. Tai nereiškia, kad gretimas įrenginys išnaudojo kompiuterį.
Patikrinimas 2: kas modelyje yra užpuolikas
Grėsmės modelis numato gretimą užpuoliką, galintį sąveikauti su aukos prieigos tinklu. Tai konkreti pozicija, o ne bet kokia nuotolinė paslauga, kuriai nepatinka jūsų išėjimo mazgas. Jei naudotojai jungiasi iš kavinės, prielaida realistiška; jei jie yra už valdomo įmonės vietinio tinklo, tai kitas pokalbis.
Palikite atvirą pasitikėjimo vietiniu tinklu klausimą net kai tunelis užšifruotas. Šifravimas atsako į kitą klausimą nei gretimumas.
Patikrinimas 3: kuriuo sluoksniu remiatės
Tinkamai patvirtintas HTTPS suteikia savo apsaugą programos įrašams, o TLS 1.3 autentifikuoja tuos duomenis nuo galo iki galo. Tačiau jis nežada, kad užpuolikas negalės pertraukti pagrindinio TCP ryšio. Todėl programa gali būti saugi skaityti, bet vis tiek pertraukiama, o pertraukimas nėra tas pats rezultatas kaip atskleidimas. Atskirkite abu prieš vertindami riziką.
Šis skirtumas svarbus ataskaitai. Jis neaiškų teiginį, kad VPN nesaugus, paverčia ribotu pareiškimu apie tai, ką gretimas užpuolikas galėjo stebėti ar pertraukti.
Patikrinimas 4: kokią švelninimo priemonę iš tikrųjų įdiegėte
Paskelbimas aptaria maršrutizavimo ir filtravimo švelninimo priemones ir aiškiai nurodo jų ribas, įskaitant atvirkštinio kelio filtravimą ir asimetrinius maršrutus. Neklijuokite vienos sysctl reikšmės ant kiekvieno VPN prieglobos ir nesakykite, kad išspręsta. Atvirkštinio kelio filtravimas sąveikauja su maršrutizavimu, todėl vienai topologijai padedanti reikšmė gali sugadinti kitą.
Patikrinimas yra komanda, o ne žymimasis langelis. sysctl net.ipv4.conf.all.rp_filter rodo visuotinę reikšmę, o sysctl net.ipv4.conf.tun0.rp_filter rodo sąsajos reikšmę, kuri tikrai taikoma. Perskaitykite abi prieš ir po bet kurio pakeitimo.
Naudokite distribucijos nurodymus ir savo maršrutizavimo projektą, tada patvirtinkite nustatymą sąsajoje, kuri neša tunelį, o ne faile, kurio niekas neįkėlė.
Ką užsirašyti
Užrašykite gretimo užpuoliko prielaidą, veikiantį branduolio paketą, suderintą pranešimo eilutę, įdiegtą švelninimo priemonę ir jos taikymo vietą bei esamas programos apsaugas. Pridėkite datą, kada tikrinote pranešimą, nes tie puslapiai keičiasi. Šis derinys yra apginamas vertinimas.
OS išleidimo data ir veikiantis VPN ryšys nėra vertinimas. Tai du faktai, kuriuos atsitiktinai lengva surinkti.