ایا CVE-2019-14899 تاسو اغیزمن کړي دي؟ د کرنل لپاره د چک لیست

یو سکنر په هغه ماشین کې CVE-2019-14899 په نښه کوي چې کلونه VPN چلوي، او لومړی احساس دا وي چې VPN مات شوی دی. دا غلط چوکاټ دی. افشا شوې ستونزه د قرباني په ځایي شبکه کې د بریدګر په اړه ده چې د ځینو TCP اړیکو په اړه معلومات استنباطوي، نه د یوې وېبپاڼې چې ستاسو ټانل ډیکریپټ کړي.

لاندې څلور څیړنې په ترتیب سره وکړئ. هر یو یا ستونزه محدوده کوي یا څیړنه پای ته رسوي.

څیړنه 1: ایا خبرتیا ستاسو کرنل پوښي

د خپل ویش اصلي ریکارډ وګورئ، نه د بلاګ د خپریدو نیټې لنډیز. د دې CVE لپاره د Ubuntu امنیتي پاڼه د 18.04 LTS لپاره عمومي linux بنډل د سمون ځنډ سره زیانمن په توګه لیست کوي او نور کرنل بنډلونه په جلا کرښو کې تعقیبوي. خپل روان خپریدل او کرنل بنډل سمې کرښې سره سم کړئ. پیژندل شوی ښکاره نسخه شمیره سمون نه دی.

د سکنر پایله پدې معنی ده چې پیژندونکی ستاسو په لیست کې یو څه ته تطبیق کیږي. د دې معنی نه ده چې ګاونډي وسیلې ماشین کارولی دی.

څیړنه 2: په ماډل کې بریدګر څوک دی

د ګواښ ماډل ګاونډی بریدګر فرض کوي چې کولای شي د قرباني د لاسرسي شبکې سره تعامل وکړي. دا یو ځانګړی موقعیت دی، نه هغه خپل سر لرې خدمت چې ستاسو د وتلو نوډ خوښ نه وي. که کاروونکي له کافې څخه ونښلوي، فرضیه واقعي ده؛ که دوی د مدیریت شوې شرکتې ځایي شبکې شاته وي، دا بله خبره ده.

د ځایي شبکې په باور پوښتنه پرانیستې وساتئ حتی کله چې ټانل کوډ شوی وي. کوډ کول له ګاونډیتوب څخه بېلې پوښتنې ته ځواب ورکوي.

څیړنه 3: تاسو په کوم پوړ تکیه کوئ

سم تصدیق شوی HTTPS د اپلیکیشن ریکارډونو لپاره خپله ساتنه برابروي، او TLS 1.3 هغه معلومات له سره تر سره تصدیقوي. خو دا ژمنه نه کوي چې بریدګر نشي کولای لاندې TCP اړیکه پرې کړي. نو یو اپلیکیشن کولای شي د لوستلو لپاره خوندي وي او بیا هم پرې کیدونکی، او پرې کیدل د افشا سره یو شان پایله نه ده. مخکې لدې چې خطر ارزښت ورکړئ دواړه جلا کړئ.

دا توپیر د راپور لپاره مهم دی. دا د VPN ناامن دی مبهم ادعا په محدوده اعلامیه بدلوي چې ګاونډی بریدګر څه لیدلی یا پرې کولی شو.

څیړنه 4: تاسو واقعی کوم د کمولو اقدام پلي کړ

افشا د لارې او فلټر کولو د کمولو اقداماتو بحث کوي او د هغوی په حدودو ښکاره ده، په شمول د بېرته لارې فلټر کول او غیر متوازنې لارې. یو sysctl ارزښت په هر VPN کوربه مه نښلوئ او مه وایئ چې حل شو. د بېرته لارې فلټر کول د لارې سره تعامل کوي، نو هغه ارزښت چې یوې ټوپولوژي سره مرسته کوي بل خرابولی شي.

څیړنه یو حکم دی، نه د ټیک بکس. sysctl net.ipv4.conf.all.rp_filter نړیوال ارزښت ښیي، او sysctl net.ipv4.conf.tun0.rp_filter هغه د انټرفیس ارزښت ښیي چې واقعی پلي کیږي. د هر بدلون دمخه او وروسته دواړه ولولئ.

د ویش لارښوونې او خپل د لارې ډیزاین وکاروئ، بیا هغه ترتیب په هغه انټرفیس کې تایید کړئ چې ټانل وړي، نه په هغه فایل کې چې هیچا نه دی لوستی.

څه باید ولیکل شي

د ګاونډي بریدګر فرضیه، روان کرنل بنډل، هغه خبرتیا کرښه چې سمه کړې، پلي شوی اقدام او چېرې تطبیق کیږي، او موجود اپلیکیشن ساتنې ولیکئ. هغه نیټه اضافه کړئ چې خبرتیا مو کتله، ځکه هغه پاڼې بدلیږي. هغه ترکیب د دفاع وړ ارزونه ده.

د OS د خپریدو نیټه او کار کوونکې VPN اړیکه ارزونه نه ده. دا دوه حقایق دي چې ناڅاپه راټولول یې اسانه دي.