Blir du berørt av CVE-2019-14899? En sjekkliste for kjernen

En skanner flagger CVE-2019-14899 på en maskin som har kjørt VPN i mange år, og den første tanken er å kalle VPN-en ødelagt. Det er feil rammeverk. Saken som er offentliggjort handler om en angriper på offerets lokalnett som trekker slutninger om bestemte TCP-forbindelser, ikke om et nettsted som dekrypterer tunnelen din.

Gå gjennom de fire kontrollene nedenfor i rekkefølge. Hver av dem begrenser problemet eller avslutter undersøkelsen.

Kontroll 1: omfatter rådet kjernen din

Slå opp distribusjonens egen registrering, ikke et bloggsammendrag av en utgivelsesdato. Ubuntus sikkerhetsside for denne CVE-en lister den generiske linux-pakken for 18.04 LTS som sårbar med rettelsen utsatt, og følger andre kjernekpakker på separate rader. Match kjørende utgivelse og kjernekpakke til riktig rad. Et versjonsnummer som virker kjent er ikke et treff.

Et skannertreff betyr at identifikatoren gjelder noe i inventaret ditt. Det betyr ikke at en naboenhet har utnyttet maskinen.

Kontroll 2: hvem er angriperen i modellen

Trusselmodellen forutsetter en tilstøtende angriper som kan samhandle med offerets aksessnett. Det er en bestemt posisjon, ikke en vilkårlig ekstern tjeneste som ikke liker utgangsnoden din. Hvis brukerne kobler til fra en kafé, er antakelsen realistisk; hvis de sitter bak et administrert bedriftslokalnett, er det en annen samtale.

Hold spørsmålet om tillit til lokalnettet åpent selv når tunnelen er kryptert. Kryptering svarer på et annet spørsmål enn naboskap.

Kontroll 3: hvilket lag du stoler på

Riktig validert HTTPS gir sin egen beskyttelse for applikasjonsposter, og TLS 1.3 autentiserer disse dataene ende til ende. Det lover ikke at en angriper ikke kan avbryte den underliggende TCP-forbindelsen. En applikasjon kan derfor være trygg å lese og likevel avbrytbar, og avbrytelse er ikke samme utfall som avsløring. Skille de to før du vurderer risikoen.

Den forskjellen er viktig for rapporten. Den gjør en vag påstand om at VPN-en er utrygg om til en avgrenset uttalelse om hva en tilstøtende angriper kunne observere eller avbryte.

Kontroll 4: hvilket tiltak du faktisk rullet ut

Offentliggjøringen drøfter ruting- og filtreringstiltak og er tydelig på grensene, inkludert omvendt stifiltrering og asymmetriske ruter. Ikke lim én sysctl-verdi på hver VPN-vert og kall det løst. Omvendt stifiltrering virker sammen med ruting, så en verdi som hjelper én topologi kan ødelegge en annen.

Verifisering er en kommando, ikke en avkrysningsboks. sysctl net.ipv4.conf.all.rp_filter viser den globale verdien, og sysctl net.ipv4.conf.tun0.rp_filter viser verdien per grensesnitt som faktisk gjelder. Les begge før og etter enhver endring.

Bruk veiledningen fra distribusjonen og ditt eget rutedesign, og bekreft deretter innstillingen på grensesnittet som bærer tunnelen, ikke i en fil ingen har lastet.

Hva du bør skrive ned

Noter antakelsen om tilstøtende angriper, kjernekpakken som kjører, rådsraden du matchet, tiltaket som ble rullet ut og hvor det brukes, og applikasjonsbeskyttelsene som finnes. Legg til datoen du kontrollerte rådet, fordi disse sidene endres. Kombinasjonen er en forsvarlig vurdering.

En OS-utgivelsesdato og en fungerende VPN-forbindelse er ikke en vurdering. Det er to fakta som tilfeldigvis er lette å samle inn.