Wordt u getroffen door CVE-2019-14899? Een checklist voor de kernel

Een scanner markeert CVE-2019-14899 op een machine die al jaren een VPN draait, en de eerste reflex is de VPN kapot verklaren. Dat is het verkeerde kader. Het gemelde probleem betreft een aanvaller op het lokale netwerk van het slachtoffer die informatie afleidt over bepaalde TCP-verbindingen, niet een website die uw tunnel ontsleutelt.

Doorloop de vier controles hieronder in volgorde. Elk ervan vernauwt het probleem of beëindigt het onderzoek.

Controle 1: dekt de waarschuwing uw kernel

Zoek de registratie van uw eigen distributie op, niet de samenvatting van een blog over een releasedatum. De beveiligingspagina van Ubuntu voor deze CVE vermeldt het generieke linux-pakket voor 18.04 LTS als kwetsbaar met de oplossing uitgesteld, en volgt andere kernelpakketten op aparte regels. Koppel uw draaiende release en kernelpakket aan de juiste regel. Een bekend lijkend versienummer is geen overeenkomst.

Een scanner-treffer betekent dat de identificatie op iets in uw inventaris van toepassing is. Het betekent niet dat een naburig apparaat de machine heeft misbruikt.

Controle 2: wie is de aanvaller in het model

Het dreigingsmodel veronderstelt een aangrenzende aanvaller die kan interacteren met het toegangsnetwerk van het slachtoffer. Dat is een specifieke positie, niet een willekeurige externe dienst die uw uitgangsknooppunt niet mag. Als gebruikers vanaf een café verbinden, is de aanname realistisch; zitten ze achter een beheerd bedrijfs-LAN, dan is het een ander gesprek.

Houd de vraag naar vertrouwen in het lokale netwerk open, ook wanneer de tunnel versleuteld is. Versleuteling beantwoordt een andere vraag dan nabuurschap.

Controle 3: op welke laag vertrouwt u

Correct gevalideerde HTTPS biedt zijn eigen bescherming voor applicatierecords, en TLS 1.3 authenticeert die gegevens van begin tot eind. Het belooft niet dat een aanvaller de onderliggende TCP-verbinding niet kan onderbreken. Een applicatie kan dus veilig te lezen zijn en toch onderbreekbaar, en onderbreking is niet dezelfde uitkomst als onthulling. Scheid die twee voordat u het risico beoordeelt.

Dat onderscheid is belangrijk voor het rapport. Het verandert een vage bewering dat de VPN onveilig is in een afgebakende uitspraak over wat een aangrenzende aanvaller kon waarnemen of onderbreken.

Controle 4: welke mitigatie heeft u daadwerkelijk ingezet

De openbaarmaking bespreekt routerings- en filtermitigaties en is expliciet over hun grenzen, waaronder reverse-path filtering en asymmetrische routes. Plak niet één sysctl-waarde op elke VPN-host en noem het opgelost. Reverse-path filtering werkt samen met routering, dus een waarde die de ene topologie helpt kan een andere breken.

Verificatie is een commando, geen selectievakje. sysctl net.ipv4.conf.all.rp_filter toont de globale waarde, en sysctl net.ipv4.conf.tun0.rp_filter toont de waarde per interface die daadwerkelijk geldt. Lees beide voor en na elke wijziging.

Gebruik de richtlijnen van de distributie en uw eigen routeringsontwerp, en bevestig daarna de instelling op de interface die de tunnel draagt, niet in een bestand dat niemand heeft geladen.

Wat u moet vastleggen

Noteer de aanname van de aangrenzende aanvaller, het draaiende kernelpakket, de gekoppelde waarschuwingsregel, de ingezette mitigatie en waar die geldt, en de aanwezige applicatiebeschermingen. Voeg de datum toe waarop u de waarschuwing heeft gecontroleerd, want die paginas veranderen. Die combinatie is een verdedigbare beoordeling.

Een OS-releasedatum en een werkende VPN-verbinding zijn geen beoordeling. Het zijn twee feiten die toevallig gemakkelijk te verzamelen zijn.