के CVE-2019-14899 ले तपाईंलाई असर गर्छ? कर्नेलका लागि जाँचसूची

वर्षौंदेखि VPN चलाइरहेको मेसिनमा स्क्यानरले CVE-2019-14899 चिन्ह लगाउँछ, र पहिलो प्रवृत्ति VPN बिग्रिएको घोषणा गर्नु हो। त्यो गलत ढाँचा हो। सार्वजनिक गरिएको समस्या पीडितको स्थानीय नेटवर्कमा रहेको आक्रमणकारीले केही TCP जडानबारे जानकारी अनुमान गर्ने हो, वेबसाइटले तपाईंको सुरुङ डिक्रिप्ट गर्ने होइन।

तलका चार जाँच क्रममा गर्नुहोस्। प्रत्येकले समस्या साँघुरो बनाउँछ वा अनुसन्धान अन्त्य गर्छ।

जाँच 1: के सूचनाले तपाईंको कर्नेल समेट्छ

ब्लगको रिलिज मिति सारांश होइन, आफ्नै वितरणको अभिलेख हेर्नुहोस्। यो CVE का लागि Ubuntu को सुरक्षा पृष्ठले 18.04 LTS का लागि सामान्य linux प्याकेज सुधार स्थगितसहित जोखिमपूर्ण सूचीबद्ध गर्छ र अन्य कर्नेल प्याकेजहरू अलग पंक्तिमा ट्र्याक गर्छ। तपाईंको चलिरहेको रिलिज र कर्नेल प्याकेज सही पंक्तिसँग मिलाउनुहोस्। चिनजानको देखिने संस्करण नम्बर मिलान होइन।

स्क्यानरको नतिजा भन्नाले पहिचानकर्ता तपाईंको सूचीमा रहेको कुनै वस्तुमा लागू हुन्छ। भन्नाले छेउको यन्त्रले मेसिन दुरुपयोग गर्‍यो भन्ने होइन।

जाँच 2: मोडेलमा आक्रमणकारी को हो

खतरा मोडेलले पीडितको पहुँच नेटवर्कसँग अन्तरक्रिया गर्न सक्ने छेउछाउको आक्रमणकारी मान्छ। त्यो विशिष्ट स्थिति हो, तपाईंको निकास नोड मन नपर्ने कुनै पनि टाढाको सेवा होइन। प्रयोगकर्ताहरू क्याफेबाट जोडिए भने अनुमान यथार्थपरक छ; तिनीहरू व्यवस्थित कर्पोरेट ल्यानको पछाडि छन् भने यो अर्को कुरा हो।

सुरुङ इन्क्रिप्टेड भए पनि स्थानीय नेटवर्कमाथिको विश्वासको प्रश्न खुला राख्नुहोस्। इन्क्रिप्शनले नजिकताभन्दा फरक प्रश्नको उत्तर दिन्छ।

जाँच 3: तपाईं कुन तहमा भर पर्नुहुन्छ

राम्ररी प्रमाणित HTTPS ले अनुप्रयोग अभिलेखका लागि आफ्नै सुरक्षा दिन्छ, र TLS 1.3 ले त्यो डेटा छेउदेखि छेउसम्म प्रमाणित गर्छ। तर आक्रमणकारीले आधारभूत TCP जडान अवरोध गर्न सक्दैन भन्ने वाचा दिँदैन। त्यसैले अनुप्रयोग पढ्न सुरक्षित हुन सक्छ तर अवरोधयोग्य पनि हुन्छ, र अवरोध खुलासा जस्तै नतिजा होइन। जोखिम मूल्याङ्कन गर्नुअघि दुवैलाई छुट्याउनुहोस्।

त्यो भिन्नता प्रतिवेदनका लागि महत्त्वपूर्ण छ। यसले VPN असुरक्षित छ भन्ने अस्पष्ट दाबीलाई छेउछाउको आक्रमणकारीले के देख्न वा अवरोध गर्न सक्थ्यो भन्ने सीमित भनाइमा बदल्छ।

जाँच 4: तपाईंले वास्तवमा कुन न्यूनीकरण उपाय लागू गर्नुभयो

प्रकाशनले रुटिङ र फिल्टरिङ न्यूनीकरणबारे चर्चा गर्छ र तिनका सीमाबारे स्पष्ट छ, जसमा रिभर्स-पाथ फिल्टरिङ र असममित रुट पर्छन्। एउटै sysctl मान सबै VPN होस्टमा टाँस्नु र समाधान भयो भन्नु हुँदैन। रिभर्स-पाथ फिल्टरिङले रुटिङसँग क्रिया गर्छ, त्यसैले एउटा टोपोलोजीलाई सहयोग गर्ने मानले अर्कोलाई बिगार्न सक्छ।

जाँच आदेश हो, टिक बाकस होइन। sysctl net.ipv4.conf.all.rp_filter ले विश्वव्यापी मान देखाउँछ, र sysctl net.ipv4.conf.tun0.rp_filter ले वास्तवमा लागू हुने इन्टरफेस मान देखाउँछ। कुनै पनि परिवर्तनअघि र पछि दुवै पढ्नुहोस्।

वितरणको निर्देशन र आफ्नै रुटिङ डिजाइन प्रयोग गर्नुहोस्, त्यसपछि सुरुङ बोक्ने इन्टरफेसमा सेटिङ पुष्टि गर्नुहोस्, कसैले लोड नगरेको फाइलमा होइन।

के लेख्ने

छेउछाउको आक्रमणकारी अनुमान, चलिरहेको कर्नेल प्याकेज, तपाईंले मिलाएको सूचना पंक्ति, लागू गरिएको न्यूनीकरण र त्यो कहाँ लागू हुन्छ, र विद्यमान अनुप्रयोग सुरक्षा अभिलेख गर्नुहोस्। सूचना जाँचेको मिति थप्नुहोस्, किनकि ती पृष्ठ बदलिन्छन्। त्यो संयोजन रक्षायोग्य मूल्याङ्कन हो।

OS रिलिज मिति र काम गर्ने VPN जडान मूल्याङ्कन होइन। ती दुई तथ्य हुन् जो संयोगवश जम्मा गर्न सजिलो छ।