Vert du råka av CVE-2019-14899? Ei sjekkliste for kjernen

Ein skannar flaggar CVE-2019-14899 på ein maskin som har køyrt VPN i årevis, og den første impulsen er å erklære VPN-en øydelagd. Det er feil ramme. Saka som er offentleggjort gjeld ein åtakar på lokalnettet til offeret som utleier informasjon om bestemte TCP-samband, ikkje eit nettstad som dekrypterer tunnelen din.

Gå gjennom dei fire kontrollane nedanfor i rekkjefølgje. Kvar av dei snevrar inn problemet eller avsluttar granskinga.

Kontroll 1: dekkjer rådet kjernen din

Slå opp registreringa til distribusjonen din sjølv, ikkje eit bloggsamandrag av ein utgivingsdato. Sikkerheitssida til Ubuntu for denne CVE-en listar den generiske linux-pakken for 18.04 LTS som sårbar med rettinga utsett, og følgjer andre kjernekpakkar på eigne rader. Match køyrande utgiving og kjernekpakke til rett rad. Eit versjonsnummer som ser kjent ut er ikkje eit treff.

Eit skannartreff tyder at identifikatoren gjeld noko i inventaret ditt. Det tyder ikkje at ein naboeining har utnytta maskina.

Kontroll 2: kven er åtakaren i modellen

Trugselsmodellen føreset ein tilstøytande åtakar som kan samhandle med aksessnettet til offeret. Det er ein bestemt posisjon, ikkje ei vilkårleg ekstern teneste som mislikar utgangsknuten din. Viss brukarane koplar til frå ein kafé, er føresetnaden realistisk; viss dei sit bak eit administrert bedriftslokalnett, er det ein annan samtale.

Hald spørsmålet om tillit til lokalnettet ope sjølv når tunnelen er kryptert. Kryptering svarar på eit anna spørsmål enn naboskap.

Kontroll 3: kva lag stolar du på

Rett validert HTTPS gjev si eiga vern for applikasjonspostar, og TLS 1.3 autentiserer desse dataa ende til ende. Det lovar ikkje at ein åtakar ikkje kan bryte den underliggande TCP-sambandet. Ein applikasjon kan difor vere trygg å lese og likevel brytbar, og bryting er ikkje same resultat som avsløring. Skil dei to før du vurderer risikoen.

Den skilnaden er viktig for rapporten. Han gjer ein vag påstand om at VPN-en er utrygg om til ei avgrensa fråsegn om kva ein tilstøytande åtakar kunne observere eller bryte.

Kontroll 4: kva avbøting du faktisk rulla ut

Offentleggjeringa drøftar ruting- og filtreringsavbøting og er tydeleg på grensene, inkludert omvendt stifiltrering og asymmetriske ruter. Ikkje lim éin sysctl-verdi på kvar VPN-vert og kall det løyst. Omvendt stifiltrering samverkar med ruting, så ein verdi som hjelper éin topologi kan øydeleggje ein annan.

Verifisering er ein kommando, ikkje ein avkrysningsboks. sysctl net.ipv4.conf.all.rp_filter viser den globale verdien, og sysctl net.ipv4.conf.tun0.rp_filter viser verdien per grensesnitt som faktisk gjeld. Les begge før og etter kvar endring.

Bruk rettleiinga til distribusjonen og ditt eige rutedesign, og stadfest deretter innstillinga på grensesnittet som ber tunnelen, ikkje i ei fil ingen har lasta inn.

Kva du skal skrive ned

Noter føresetnaden om tilstøytande åtakar, kjernekpakken som køyrer, rådsrada du matcha, avbøtinga som vart rulla ut og kvar ho vert brukt, samt applikasjonsverna som finst. Legg til datoen du kontrollerte rådet, fordi desse sidene endrar seg. Den kombinasjonen er ei forsvarleg vurdering.

Ein OS-utgivingsdato og ein fungerande VPN-samband er ikkje ei vurdering. Det er to fakta som tilfeldigvis er enkle å samle inn.