Int milqut minn CVE-2019-14899? Lista ta@APOS@ verifika għall-kernel

Skanner jimmarka CVE-2019-14899 fuq magna li ilha tnaddem VPN għal snin, u l-ewwel xewqa hija li tgħid li l-VPN marret ħażin. Dan huwa qafas żbaljat. Il-kwistjoni żvelata tikkonċerna attakkant fuq in-netwerk lokali tal-vittma li jiddeduċi informazzjoni dwar ċerti konnessjonijiet TCP, mhux sit web li jiddekriffa t-tunnel tiegħek.

Għaddi mill-erba’ verifiki t’ hawn taħt fl-ordni. Kull waħda jew iżżomm il-problema iżgħar jew ittemm l-investigazzjoni.

Verifika 1: l-avviż ikopri l-kernel tiegħek

Fittex ir-rekord tad-distribuzzjoni tiegħek stess, mhux sommarju ta’ blog dwar data ta’ rilaxx. Il-paġna tas-sigurtà ta’ Ubuntu għal dan is-CVE telenka l-pakkett linux ġeneriku għal 18.04 LTS bħala vulnerabbli bit-tiswija posposta, u tittraċċa pakketti oħra tal-kernel fuq ringieli separati. Qabbel ir-rilaxx li qed taħdem u l-pakkett tal-kernel tiegħek mar-ringiela t-tajba. Numru tal-verżjoni li jidher familjari mhuwiex qabbel.

Skaner li jispara jfisser li l-identifikatur japplika għal xi ħaġa fl-inventarju tiegħek. Ma jfissirx li apparat ġar sfrutta l-magna.

Verifika 2: min hu l-attakkant fil-mudell

Il-mudell tat-theddida jassumi attakkant qrib li jista’ jinteraġixxi man-netwerk ta’ aċċess tal-vittma. Dik hija pożizzjoni speċifika, mhux servizz remot arbitrarju li ma jħobbx in-node tal-ħruġ tiegħek. Jekk l-utenti jikkonnettjaw minn kafetterija, l-assunzjoni hija realistika; jekk joqogħdu wara LAN korporattiv immexxi, hija konverżazzjoni oħra.

Ħalli l-mistoqsija tal-fiduċja fin-netwerk lokali miftuħa anki meta t-tunnel huwa kriptat. Il-kriptaġġ iwieġeb mistoqsija differenti milli tagħmel il-qrubija.

Verifika 3: liema saff qed tiddependi fuqu

HTTPS ivvalidat b’ mod korrett jipprovdi l-protezzjoni tiegħu għar-rekords tal-applikazzjoni, u TLS 1.3 jawtentika dak id-data minn tarf għal tarf. Ma jwiegħedx li attakkant ma jistax jinterrompi l-konnessjoni TCP ta’ taħt. Għalhekk applikazzjoni tista’ tkun sigura biex taqraha waqt li xorta tkun tista’ tiġi mfixkla, u tfixkil mhuwiex l-istess riżultat bħal żvelar. Issepara t-tnejn qabel ma tivvaluta r-riskju.

Dik id-distinzjoni hija importanti għall-kitba. Hija ddawwar pretensjoni vaga li l-VPN mhix sigura fi stqarrija limitata dwar x’ jista’ josserva jew jinterrompi attakkant qrib.

Verifika 4: liema mitigazzjoni fil-fatt skjerajt

L-iżvelar jiddiskuti mitigazzjonijiet tar-rotot u tal-filtrazzjoni u huwa espliċitu dwar il-limiti tagħhom, inkluż il-filtrazzjoni tal-mogħdija inversa u rotot asimmetriċi. Twaħħalx valur wieħed ta’ sysctl fuq kull host VPN u tgħid li huwa msewwi. Il-filtrazzjoni tal-mogħdija inversa tinteraġixxi mar-rotot, għalhekk valur li jgħin topoloġija waħda jista’ jkisser oħra.

Il-verifika hija kmand, mhux kaxxa tal-verifika. sysctl net.ipv4.conf.all.rp_filter juri l-valur globali, u sysctl net.ipv4.conf.tun0.rp_filter juri l-valur għal kull interfaċċja li fil-fatt japplika. Aqra t-tnejn qabel u wara kull bidla.

Uża l-gwida tad-distribuzzjoni u d-disinn tar-rotot tiegħek stess, imbagħad ikkonferma l-ambjent fuq l-interfaċċja li ġġorr it-tunnel, mhux f’ fajl li ħadd ma għabba.

Xi trid tniżżel

Innota l-assunzjoni tal-attakkant qrib, il-pakkett tal-kernel li qed jaħdem, ir-ringiela tal-avviż li qabilt, il-mitigazzjoni li skjerajt u fejn hija applikata, u l-protezzjonijiet tal-applikazzjoni li hemm. Żid id-data meta ċċekkjajt l-avviż, għax dawk il-paġni jinbidlu. Dik il-kombinazzjoni hija valutazzjoni difendibbli.

Data ta’ rilaxx tal-OS u konnessjoni VPN li taħdem mhumiex valutazzjoni. Huma żewġ fatti li jiġri li huma faċli biex jinġabru.