CVE-2019-14899 танд нөлөөлсөн үү? Цөм шалгах жагсаалт

Олон жил VPN ажиллуулсан машин дээр сканер CVE-2019-14899 гэж тэмдэглэхэд эхний бодол VPN эвдэрсэн гэж хэлэх байдаг. Энэ нь буруу хүрээ юм. Ил болсон асуудал нь хохирогчийн дотоод сүлжээнд байгаа халдагч тодорхой TCP холболтын мэдээллийг таамаглах тухай, вэбсайт таны туннелийг тайлж байгаа тухай биш.

Доорх дөрвөн шалгалтыг дарааллаар нь гүйцэтгээрэй. Шалгалт бүр асуудлыг нарийсгах эсвэл шалгалтыг дуусгана.

Шалгалт 1: анхааруулга таны цөмийг хамарч байна уу

Блог дээрх хувилбарын огнооны хураангуйг биш, өөрийн түгээлтийн бүртгэлийг хараарай. Энэ CVE-ийн Ubuntu аюулгүй байдлын хуудас 18.04 LTS-ийн ерөнхий linux багцыг засвар хойшилсон эмзэг гэж жагсааж, бусад цөмийн багцуудыг тусдаа мөрөнд бүртгэдэг. Ажиллаж буй хувилбар, цөмийн багцаа зөв мөртэй тааруулаарай. Танил харагдах хувилбарын дугаар нь таарал гэсэн үг биш.

Сканерын илрүүлэлт нь тухайн таних тэмдэг таны бүртгэл дэх ямар нэг зүйлд хамаарна гэсэн үг. Хөрш төхөөрөмж машиныг ашигласан гэсэн үг биш.

Шалгалт 2: загварт халдагч хэн бэ

Аюулгүй байдлын загвар нь хохирогчийн хандалтын сүлжээтэй харилцах боломжтой ойрын халдагчийг тооцдог. Энэ нь тодорхой байрлал бөгөөд таны гарцын зангилааг үзэн яддаг дур мэдэн алсын үйлчилгээ биш. Хэрэглэгчид кафедээс холбогддог бол энэ таамаг бодитой; хэрэв тэд удирдлагатай корпорацийн LAN-ийн ард сууж байвал өөр яриа.

Туннель шифрлэгдсэн ч дотоод сүлжээний итгэлцлийн асуултыг нээлттэй үлдээгээрэй. Шифрлэлт нь ойрхон байх гэсэн асуултаас өөр асуултад хариулдаг.

Шалгалт 3: та аль давхаргад найдаж байна

Зөв баталгаажуулсан HTTPS нь аппликейшны бичлэгт өөрийн хамгаалалтыг өгдөг ба TLS 1.3 нь тэр өгөгдлийг төгсгөлөөс төгсгөл хүртэл баталгаажуулдаг. Гэхдээ халдагч доорх TCP холболтыг тасалдуулж чадахгүй гэж амладаггүй. Тиймээс аппликейшн уншихад аюулгүй байхын зэрэгцээ тасалдалд өртөх боломжтой, тасалдал нь мэдээлэл алдагдахтай ижил үр дүн биш. Эрсдэлийг үнэлэхийн өмнө энэ хоёрыг ялгаарай.

Энэ ялгаа нь тайлан бичихэд чухал. Энэ нь VPN найдваргүй гэсэн бүрхэг мэдэгдлийг ойрын халдагч юу ажиглах, тасалдуулах боломжтой тухай хязгаарлагдмал мэдэгдэл болгоно.

Шалгалт 4: ямар хамгаалалтыг үнэхээр нэвтрүүлсэн бэ

Ил тодруулга нь чиглүүлэлт ба шүүлтийн хамгаалалтын тухай ярьж, тэдгээрийн хязгаарыг тодорхой заасан, үүнд урвуу замын шүүлт, тэгш бус маршрут орно. Нэг sysctl утгыг VPN хост бүр дээр нааж, зассан гэж бүү хэл. Урвуу замын шүүлт нь чиглүүлэлттэй харилцан үйлчилдэг тул нэг топологид тус болох утга нөгөөг эвдэж болно.

Баталгаажуулалт бол команд, чагтлах хайрцаг биш. sysctl net.ipv4.conf.all.rp_filter глобал утгыг, sysctl net.ipv4.conf.tun0.rp_filter бодитоор хэрэгжих интерфэйс тус бүрийн утгыг харуулна. Ямар ч өөрчлөлтийн өмнө болон дараа хоёуланг нь уншаарай.

Түгээлтийн заавар, өөрийн чиглүүлэлтийн загварыг ашиглаад, тохиргоог хэн ч ачаалаагүй файлд биш, туннель дамжуулж буй интерфэйс дээр баталгаажуулаарай.

Юу бичиж үлдээх вэ

Ойрын халдагчийн таамаг, ажиллаж буй цөмийн багц, таарсан анхааруулгын мөр, нэвтрүүлсэн хамгаалалт ба түүний хэрэгжих газар, мөн байгаа аппликейшны хамгаалалтыг тэмдэглээрэй. Анхааруулгыг шалгасан огноог нэмээрэй, учир нь тэдгээр хуудас өөрчлөгддөг. Энэ хослол нь хамгаалах боломжтой үнэлгээ юм.

OS-ийн хувилбарын огноо, ажиллаж буй VPN холболт нь үнэлгээ биш. Эдгээр нь цуглуулахад хялбар хоёр баримт.