Er du berørt av CVE-2019-14899? En sjekkliste for kjernen

En skanner flagger CVE-2019-14899 på en maskin som har kjørt VPN i årevis, og den første impulsen er å erklære VPN-en ødelagt. Det er feil ramme. Saken som er offentliggjort, gjelder en angriper på offerets lokale nett som utleder informasjon om visse TCP-forbindelser, ikke et nettsted som dekrypterer tunnelen din.

Gå gjennom de fire kontrollene nedenfor i rekkefølge. Hver av dem innsnevrer problemet eller avslutter undersøkelsen.

Kontroll 1: dekker rådet kjernen din

Slå opp distribusjonens egen registrering, ikke et bloggsammendrag av en utgivelsesdato. Ubuntus sikkerhetsside for denne CVE-en lister den generiske linux-pakken for 18.04 LTS som sårbar med rettelsen utsatt, og den sporer andre kjernepakker på egne rader. Match utgivelsen du kjører og kjernepakken din mot riktig rad. Et versjonsnummer som ser kjent ut, er ikke et treff.

Et skannertreff betyr at identifikatoren gjelder noe i inventaret ditt. Det betyr ikke at en naboenhet har utnyttet maskinen.

Kontroll 2: hvem er angriperen i modellen

Trusselmodellen forutsetter en angriper i nærheten som kan samhandle med offerets aksessnett. Det er en bestemt posisjon, ikke en vilkårlig ekstern tjeneste som misliker utgangsnoden din. Hvis brukere kobler til fra en kafé, er forutsetningen realistisk; hvis de sitter bak et administrert bedrifts-LAN, er det en annen samtale.

Hold spørsmålet om tillit til lokalnettet åpent selv når tunnelen er kryptert. Kryptering svarer på et annet spørsmål enn nærhet gjør.

Kontroll 3: hvilket lag stoler du på

Korrekt validert HTTPS gir sin egen beskyttelse for applikasjonsposter, og TLS 1.3 autentiserer disse dataene ende-til-ende. Det lover ikke at en angriper ikke kan avbryte den underliggende TCP-forbindelsen. En applikasjon kan derfor være trygg å lese mens den fortsatt kan forstyrres, og en forstyrrelse er ikke samme utfall som avsløring. Skill de to før du vurderer risikoen.

Den forskjellen betyr noe for skrivingen. Den gjør en vag påstand om at VPN-en er usikker, om til en avgrenset uttalelse om hva en angriper i nærheten kunne observere eller forstyrre.

Kontroll 4: hvilket tiltak har du faktisk rullet ut

Avsløringen diskuterer tiltak for ruting og filtrering og er tydelig på grensene deres, inkludert reversstifiltrering og asymmetriske ruter. Ikke lim én sysctl-verdi inn på hver VPN-vert og kall det fikset. Reversstifiltrering samspiller med ruting, så en verdi som hjelper én topologi kan ødelegge en annen.

Verifisering er en kommando, ikke en avkrysningsboks. sysctl net.ipv4.conf.all.rp_filter viser den globale verdien, og sysctl net.ipv4.conf.tun0.rp_filter viser verdien per grensesnitt som faktisk gjelder. Les begge før og etter enhver endring.

Bruk distribusjonens veiledning og din egen rutedesign, og bekreft deretter innstillingen på grensesnittet som bærer tunnelen, ikke i en fil ingen har lastet.

Hva du bør skrive ned

Noter forutsetningen om angriper i nærheten, kjernepakken som kjører, rådraden du matchet, tiltaket du rullet ut og hvor det er brukt, og applikasjonsbeskyttelsen som er på plass. Legg til datoen du sjekket rådet, fordi disse sidene endres. Den kombinasjonen er en forsvarlig vurdering.

En OS-utgivelsesdato og en fungerende VPN-forbindelse er ikke en vurdering. De er to fakta som tilfeldigvis er enkle å samle inn.