Zasiahol vás CVE-2019-14899? Kontrolný zoznam pre jadro

Skener označí CVE-2019-14899 na stroji, ktorý roky používa VPN, a prvým inštinktom je vyhlásiť VPN za pokazenú. To je nesprávny rámec. Zverejnený problém sa týka útočníka v miestnej sieti obete, ktorý usudzuje informácie o určitých spojeniach TCP, nie webu, ktorý dešifruje váš tunel.

Prejdite štyri kontroly nižšie v poradí. Každá buď zúži problém, alebo ukončí vyšetrovanie.

Kontrola 1: pokrýva odporúčanie vaše jadro

Hľadajte vlastný záznam svojej distribúcie, nie zhrnutie dátumu vydania z blogu. Bezpečnostná stránka Ubuntu k tejto CVE uvádza všeobecný balík linux pre 18.04 LTS ako zraniteľný s odloženou opravou a sleduje ďalšie balíky jadra v samostatných riadkoch. Spárujte bežiace vydanie a balík jadra so správnym riadkom. Známe vyzerajúce číslo verzie nie je zhoda.

Nález skenera znamená, že identifikátor sa vzťahuje na niečo vo vašom inventári. Neznamená, že susedné zariadenie stroj zneužilo.

Kontrola 2: kto je v modeli útočník

Model hrozby predpokladá susedného útočníka, ktorý môže komunikovať s prístupovou sieťou obete. To je konkrétna pozícia, nie ľubovoľná vzdialená služba, ktorej sa nepáči váš výstupný uzol. Ak sa používatelia pripájajú z kaviarne, predpoklad je realistický; ak sedia za spravovanou podnikovou miestnou sieťou, je to iná debata.

Nechajte otázku dôvery v miestnu sieť otvorenú, aj keď je tunel šifrovaný. Šifrovanie odpovedá na inú otázku ako susedstvo.

Kontrola 3: na ktorú vrstvu sa spoliehate

Správne overený HTTPS poskytuje vlastnú ochranu záznamov aplikácie a TLS 1.3 tieto údaje autentizuje od konca po koniec. Nesľubuje však, že útočník nemôže prerušiť podkladové spojenie TCP. Aplikácia teda môže byť bezpečná na čítanie a napriek tomu prerušiteľná, a prerušenie nie je rovnaký výsledok ako prezradenie. Oddeľte oboje, kým riziko ohodnotíte.

Tento rozdiel je pre správu dôležitý. Mení vágne tvrdenie, že VPN je nezabezpečená, na ohraničené tvrdenie o tom, čo by susedný útočník mohol pozorovať alebo prerušiť.

Kontrola 4: aké zmiernenie ste skutočne nasadili

Zverejnenie rozoberá zmiernenia v oblasti smerovania a filtrovania a je výslovné o ich limitoch, vrátane filtrovania spätnej cesty a asymetrických trás. Nelepte jednu hodnotu sysctl na každého hostiteľa VPN a nehovorte, že je opravené. Filtrovanie spätnej cesty interaguje so smerovaním, takže hodnota, ktorá pomôže jednej topológii, môže inú pokaziť.

Overenie je príkaz, nie zaškrtávacie políčko. sysctl net.ipv4.conf.all.rp_filter ukazuje globálnu hodnotu a sysctl net.ipv4.conf.tun0.rp_filter ukazuje hodnotu pre rozhranie, ktorá skutočne platí. Prečítajte obe pred zmenou aj po nej.

Použite pokyny distribúcie a vlastný návrh smerovania, potom potvrďte nastavenie na rozhraní, ktoré nesie tunel, nie v súbore, ktorý nikto nenačítal.

Čo si zapísať

Zapíšte predpoklad susedného útočníka, bežiaci balík jadra, riadok odporúčania, ktorý ste spárovali, nasadené zmiernenie a kde sa uplatňuje, a existujúce ochrany aplikácie. Pridajte dátum, kedy ste odporúčanie skontrolovali, pretože tie stránky sa menia. Taká kombinácia je obhájiteľné hodnotenie.

Dátum vydania OS a fungujúce pripojenie VPN nie sú hodnotenie. Sú to dva údaje, ktoré sa náhodou ľahko zbierajú.