Ma ku saameeyay CVE-2019-14899? Liis-ka-shaadhka kernel

Baare ayaa calaamadeeya CVE-2019-14899 mashiin sannado badan isticmaalayay VPN, oo dareenka ugu horreeya waa in VPN-ka la sheego inuu jabay. Taasi waa qaab khaldan. Arrinka la shaaciyay wuxuu khuseeyaa weerar ku sugan shabakadda gudaha dhibbanaha oo ka soo saara macluumaad ku saabsan xiriirka TCP qaarkood, ma aha websaydh sirta tunnel-kaaga furaya.

Dhex mar afar baaritaan oo hoos ku qoran si taxane ah. Mid kastaa wuxuu yareeyaa dhibaatada ama wuxuu soo afjarayaa baaritaanka.

Baaritaan 1: digniintu ma daboolaysaa kernel-kaaga

Raadi diiwaanka qaybintaada ee gaarka ah, ma aha soo koobid blog oo ku saabsan taariikhda soo saarista. Bogga amniga Ubuntu ee CVE-kan wuxuu ku taxayaa xirmada linux ee guud ee 18.04 LTS mid nugul oo hagaajinta dib loo dhigay, wuxuuna la socdaa xirmooyinka kale ee kernel-ka safaf gooni ah. Isku-dhig soo-saarka shaqeynaya iyo xirmada kernel-ka safka saxda ah. Lambarka nooca u eg mid la yaqaan ma aha isku-dhac.

Natiijada baare waxay ka dhigan tahay in aqoonsigu khuseeyo shay ku jira liiskaaga. Micnaheedu ma aha in qalab deris ah uu ka faa’iidaystay mashiinka.

Baaritaan 2: waa kuma weeraryahanka qaabka

Qaabka khatarta wuxuu u malaynayaa weeraryahan deris ah oo la falgali kara shabakadda gelitaanka dhibbanaha. Taasi waa boos gaar ah, ma aha adeeg fog oo aan jeclayn noodkaaga bixitaanka. Haddii isticmaalayaashu ka xirmaan maqaayad, malaha waa dhab; haddii ay ka dambeeyaan LAN shirkadeed la maamulo, waa hadal kale.

Ka tag su’aasha kalsoonida shabakadda gudaha mid furan xitaa marka tunnel-ka la sireeyay. Sirteynta waxay ka jawaabtaa su’aal ka duwan derisnimada.

Baaritaan 3: lakabkee ayaad ku tiirsan tahay

HTTPS si sax ah loo xaqiijiyay wuxuu bixiyaa difaaca u gaar ah diiwaannada codsiga, TLS 1.3-na wuxuu xaqiijiyaa xogtaas min dhammaad ilaa dhammaad. Laakiin ma ballanqaado in weeraryahanku aanu joojin karin xiriirka TCP ee hoose. Sidaas darteed codsi wuxuu noqon karaa mid ammaan ah in la akhriyo haddana la joojin karo, joojintuna ma aha natiijo la mid ah muujinta. Kala sooc labada ka hor intaadan qiimeyn khatarta.

Farqigaas waa muhiim warbixinta. Wuxuu u beddelaa sheegasho aan caddaynayn in VPN-ku aanu ammaan ahayn bayaan xaddidan oo ku saabsan waxa weeraryahan deris ah uu arki karo ama joojin karo.

Baaritaan 4: tallaabadee yaraynta ayaad dhab ahaan hirgelisay

Shaaca waxay ka hadlaysaa tallaabooyinka yaraynta ee marinka iyo shaandhaynta waxayna si cad u sheegtaa xadka ay leeyihiin, oo ay ku jiraan shaandhaynta marinka gadaal iyo waddooyinka aan isku mid ahayn. Ha ku dhejin hal qiime sysctl martigeliyaha kasta oo VPN ah oo ha sheegin in la xalliyay. Shaandhaynta marinka gadaal waxay la falgashaa marinka, sidaas darteed qiime ka caawiya hal qaab dhismeed ayaa jebin kara mid kale.

Baaritaanku waa amar, ma aha sanduuq calaamad. sysctl net.ipv4.conf.all.rp_filter wuxuu muujinayaa qiimaha guud, sysctl net.ipv4.conf.tun0.rp_filter wuxuuna muujinayaa qiimaha interface-ka dhab ahaan khuseeya. Akhri labadaba ka hor iyo ka dib isbeddel kasta.

Isticmaal hagidda qaybinta iyo naqshadeyntaada marinka, ka dibna xaqiiji habaynta interface-ka qaada tunnel-ka, ma aha fayl aan cidna furin.

Waxa la qorayo

Qor mala-awaalka weeraryahan deris, xirmada kernel-ka shaqeynaya, safka digniinta aad isku-dhigtay, tallaabada yaraynta la hirgeliyay iyo halka lagu dabaqo, iyo difaacyada codsiga ee jira. Ku dar taariikhda aad baartay digniinta, sababtoo ah bogaggaas way is beddelaan. Isku-dhafkaas waa qiimeyn la difaaci karo.

Taariikhda soo saarista OS iyo xiriirka VPN ee shaqeynaya ma aha qiimeyn. Waa laba xaqiiqo oo si shil ah loo ururin karo.