Adakah Anda Terjejas oleh CVE-2019-14899? Senarai Semak Kernel

Pengimbas menandakan CVE-2019-14899 pada mesin yang telah menjalankan VPN selama bertahun-tahun, dan naluri pertama ialah menyatakan VPN itu rosak. Itu kerangka yang salah. Isu yang didedahkan berkaitan penyerang dalam rangkaian tempatan mangsa yang membuat inferens tentang sambungan TCP tertentu, bukan laman web yang menyahsulit terowong anda.

Lalui empat semakan di bawah mengikut urutan. Setiap satu sama ada menyempitkan masalah atau menamatkan siasatan.

Semakan 1: adakah nasihat itu meliputi kernel anda

Rujuk rekod edaran anda sendiri, bukan ringkasan blog tentang tarikh keluaran. Halaman keselamatan Ubuntu untuk CVE ini menyenaraikan pakej linux generik untuk 18.04 LTS sebagai terjejas dengan pembaikan ditangguhkan, dan ia menjejaki pakej kernel lain pada baris berasingan. Padankan keluaran yang sedang berjalan dan pakej kernel anda dengan baris yang betul. Nombor versi yang kelihatan biasa bukanlah padanan.

Kesan pengimbas bermaksud pengecam itu terpakai pada sesuatu dalam inventori anda. Ia tidak bermaksud peranti jiran telah mengeksploitasi mesin itu.

Semakan 2: siapakah penyerang dalam model itu

Model ancaman menganggap penyerang bersebelahan yang boleh berinteraksi dengan rangkaian akses mangsa. Itu kedudukan tertentu, bukan perkhidmatan jauh sewenang-wenangnya yang tidak menyukai nod keluar anda. Jika pengguna menyambung dari kedai kopi, andaian itu realistik; jika mereka berada di belakang LAN korporat yang diurus, ia perbualan yang berbeza.

Kekalkan persoalan kepercayaan rangkaian tempatan walaupun terowong disulitkan. Penyulitan menjawab persoalan yang berbeza daripada kedekatan.

Semakan 3: lapisan manakah yang anda bergantung padanya

HTTPS yang disahkan dengan betul memberikan perlindungan sendiri untuk rekod aplikasi, dan TLS 1.3 mengesahkan data itu dari hujung ke hujung. Ia tidak menjanjikan bahawa penyerang tidak boleh mengganggu sambungan TCP di bawahnya. Oleh itu aplikasi boleh selamat dibaca sambil masih boleh diganggu, dan gangguan bukan hasil yang sama seperti pendedahan. Asingkan kedua-duanya sebelum anda menilai risiko.

Perbezaan itu penting untuk penulisan. Ia mengubah dakwaan kabur bahawa VPN tidak selamat menjadi kenyataan terbatas tentang apa yang penyerang bersebelahan boleh perhatikan atau ganggu.

Semakan 4: mitigasi apakah yang sebenarnya anda gunakan

Pendedahan itu membincangkan mitigasi penghalaan dan penapisan dan jelas tentang hadnya, termasuk penapisan laluan terbalik dan laluan asimetri. Jangan tampal satu nilai sysctl pada setiap hos VPN dan menganggapnya selesai. Penapisan laluan terbalik berinteraksi dengan penghalaan, jadi nilai yang membantu satu topologi boleh merosakkan yang lain.

Pengesahan ialah arahan, bukan kotak semak. sysctl net.ipv4.conf.all.rp_filter menunjukkan nilai global, dan sysctl net.ipv4.conf.tun0.rp_filter menunjukkan nilai setiap antara muka yang sebenarnya terpakai. Baca kedua-duanya sebelum dan selepas sebarang perubahan.

Gunakan panduan edaran dan reka bentuk penghalaan anda sendiri, kemudian sahkan tetapan pada antara muka yang membawa terowong dan bukan dalam fail yang tiada siapa muat.

Apa yang perlu dicatat

Catat andaian penyerang bersebelahan, pakej kernel yang sedang berjalan, baris nasihat yang anda padankan, mitigasi yang anda gunakan dan di mana ia digunakan, serta perlindungan aplikasi yang ada. Tambah tarikh anda menyemak nasihat itu, kerana halaman tersebut berubah. Gabungan itu ialah penilaian yang boleh dipertahankan.

Tarikh keluaran OS dan sambungan VPN yang berfungsi bukanlah penilaian. Itu dua fakta yang kebetulan mudah dikumpul.