Дали ве засегна CVE-2019-14899? Контролна листа за јадрото

Скенер означува CVE-2019-14899 на машина што користи VPN со години, и првиот инстинкт е да се прогласи VPN-от за расипан. Тоа е погрешна рамка. Објавениот проблем се однесува на напаѓач во локалната мрежа на жртвата што изведува заклучоци за одредени TCP врски, а не на веб-страница што го дешифрира вашиот тунел.

Поминете ги четирите проверки подолу по ред. Секоја или ја стеснува проблема, или ја завршува истрагата.

Проверка 1: дали известувањето го покрива вашето јадро

Побарајте го сопствениот запис на вашата дистрибуција, а не резиме на блог за датум на издавање. Безбедносната страница на Ubuntu за оваа CVE го наведува општиот linux пакет за 18.04 LTS како ранлив со одложена поправка и ги следи другите пакети на јадрото во одделни редови. Совпаѓајте го изданието што работи и пакетот на јадрото со правилниот ред. Познат број на верзија не е совпаѓање.

Наод на скенер значи дека идентификаторот се однесува на нешто во вашиот инвентар. Не значи дека соседен уред ја искористил машината.

Проверка 2: кој е напаѓачот во моделот

Моделот на закана претпоставува соседен напаѓач што може да комуницира со пристапната мрежа на жртвата. Тоа е одредена позиција, а не произволна далечинска услуга на која не ѝ се допаѓа вашиот излезен јазол. Ако корисниците се поврзуваат од кафуле, претпоставката е реалистична; ако се зад управувана корпоративна локална мрежа, тоа е друг разговор.

Оставете го отворено прашањето за доверба во локалната мрежа дури и кога тунелот е шифриран. Шифрирањето одговара на друго прашање од соседството.

Проверка 3: на кој слој се потпирате

Правилно валидиран HTTPS дава сопствена заштита за апликациските записи, а TLS 1.3 ги автентицира тие податоци од крај до крај. Но не ветува дека напаѓачот не може да ја прекине основната TCP врска. Затоа апликацијата може да биде безбедна за читање, а сепак прекинувачка, и прекинот не е ист исход како откривањето. Одделете ги двете пред да го оцените ризикот.

Таа разлика е важна за извештајот. Таа ја претвора нејасната тврдење дека VPN-от е небезбеден во ограничена изјава за тоа што соседен напаѓач би можел да забележи или прекине.

Проверка 4: која мерка за ублажување навистина ја применивте

Објавувањето расправа за мерки за ублажување на рутирањето и филтрирањето и е експлицитно за нивните граници, вклучително филтрирање на обратна патека и асиметрични рути. Не лепете една sysctl вредност на секој VPN домаќин и не велете дека е решено. Филтрирањето на обратна патека комуницира со рутирањето, па вредност што помага на една топологија може да ја расипе друга.

Проверката е команда, а не поле за штиклирање. sysctl net.ipv4.conf.all.rp_filter ја покажува глобалната вредност, а sysctl net.ipv4.conf.tun0.rp_filter ја покажува вредноста по интерфејс што навистина се применува. Прочитајте ги двете пред и по секоја промена.

Користете ги упатствата на дистрибуцијата и сопствениот дизајн на рутирање, потоа потврдете го поставувањето на интерфејсот што го носи тунелот, а не во датотека што никој не ја вчитал.

Што да запишете

Запишете ја претпоставката за соседен напаѓач, пакетот на јадрото што работи, редот од известувањето што сте го совпаднале, применетата мерка и каде се применува, како и постојните заштити на апликацијата. Додајте го датумот кога сте го провериле известувањето, бидејќи тие страници се менуваат. Таа комбинација е одбранолива оценка.

Датум на издание на ОС и работна VPN врска не се оценка. Тоа се два факти што случајно се лесни за собирање.