Ali vas zadeva CVE-2019-14899? Kontrolni seznam za jedro

Iskalnik označi CVE-2019-14899 na stroju, ki že leta uporablja VPN, in prvi vzgib je razglasiti VPN za pokvarjen. To je napačen okvir. Razkriti problem se nanaša na napadalca v lokalnem omrežju žrtve, ki sklepa o določenih povezavah TCP, ne pa na spletno mesto, ki dešifrira vaš tunel.

Pojdite skozi štiri preverjanja spodaj po vrsti. Vsako bodisi zoži problem bodisi konča preiskavo.

Preverjanje 1: ali obvestilo pokriva vaše jedro

Poiščite lasten zapis svoje distribucije, ne povzetka datuma izdaje iz bloga. Varnostna stran Ubuntu za to CVE navaja splošni paket linux za 18.04 LTS kot ranljiv z odloženim popravkom in spremlja druge pakete jedra v ločenih vrsticah. Ujemite delujočo izdajo in paket jedra s pravo vrstico. Znano videti število različice ni ujemanje.

Zadetek iskalnika pomeni, da se identifikator nanaša na nekaj v vašem inventarju. Ne pomeni, da je sosednja naprava izkoristila stroj.

Preverjanje 2: kdo je napadalec v modelu

Model groženj predpostavlja sosednjega napadalca, ki lahko komunicira z dostopovnim omrežjem žrtve. To je določen položaj, ne poljubna oddaljena storitev, ki ji ni všeč vaše izhodno vozlišče. Če se uporabniki povezujejo iz kavarne, je predpostavka realistična; če sedijo za upravljanim poslovnim lokalnim omrežjem, je to drug pogovor.

Pustite vprašanje zaupanja v lokalno omrežje odprto, tudi ko je tunel šifriran. Šifriranje odgovarja na drugo vprašanje kot sosedstvo.

Preverjanje 3: na katero plast se zanašate

Pravilno preverjen HTTPS zagotavlja lastno zaščito zapisov aplikacije, TLS 1.3 pa te podatke overi od konca do konca. Ne obljublja pa, da napadalec ne more prekiniti osnovne povezave TCP. Aplikacija je lahko zato varna za branje in vseeno prekinljiva, prekinitev pa ni enak izid kot razkritje. Ločite oboje, preden ocenite tveganje.

Ta razlika je pomembna za poročilo. Spremeni nejasno trditev, da je VPN nevaren, v omejeno izjavo o tem, kaj bi sosednji napadalec lahko opazoval ali prekinil.

Preverjanje 4: kateri ukrep ste dejansko uvedli

Razkritje obravnava ukrepe usmerjanja in filtriranja ter je izrecno glede njihovih meja, vključno s filtriranjem povratne poti in asimetričnimi potmi. Ne prilepite ene vrednosti sysctl na vsakega gostitelja VPN in ne recite, da je rešeno. Filtriranje povratne poti deluje skupaj z usmerjanjem, zato lahko vrednost, ki pomaga eni topologiji, pokvari drugo.

Preverjanje je ukaz, ne potrditveno polje. sysctl net.ipv4.conf.all.rp_filter prikazuje globalno vrednost, sysctl net.ipv4.conf.tun0.rp_filter pa vrednost za vmesnik, ki dejansko velja. Preberite obe pred in po vsaki spremembi.

Uporabite smernice distribucije in lastno zasnovo usmerjanja, nato potrdite nastavitev na vmesniku, ki nosi tunel, ne v datoteki, ki je nihče ni naložil.

Kaj zapisati

Zapišite predpostavko o sosednjem napadalcu, delujoč paket jedra, vrstico obvestila, ki ste jo ujemili, uvedeni ukrep in kje se uporablja, ter obstoječe zaščite aplikacije. Dodajte datum, ko ste obvestilo preverili, ker se te strani spreminjajo. Ta kombinacija je branljiva ocena.

Datum izdaje OS in delujoča povezava VPN nista ocena. To sta dve dejstvi, ki ju je slučajno lahko zbrati.