A jeni prekur nga CVE-2019-14899? Një listë kontrolli për kernelin

Një skaner shënon CVE-2019-14899 në një makinë që përdor VPN prej vitesh, dhe instinkti i parë është të shpallësh VPN-në të prishur. Ky është korniza e gabuar. Çështja e publikuar ka të bëjë me një sulmues në rrjetin lokal të viktimës që nxjerr përfundime për disa lidhje TCP, jo me një faqe web që dekripton tunelin tuaj.

Kryeni katër kontrollet më poshtë me radhë. Secila ose e ngushton problemin ose e përfundon hetimin.

Kontrolli 1: a e mbulon njoftimi kernelin tuaj

Kërkoni regjistrin e vetë shpërndarjes tuaj, jo përmbledhjen e një blogu për një datë publikimi. Faqja e sigurisë e Ubuntu për këtë CVE liston paketën e përgjithshme linux për 18.04 LTS si të cenueshme me korrigjimin e shtyrë, dhe ndjek paketa të tjera të kernelit në rreshta të veçantë. Përputhni versionin që ekzekutoni dhe paketën e kernelit me rreshtin e duhur. Një numër versioni që duket i njohur nuk është përputhje.

Një gjetje e skanerit do të thotë që identifikuesi zbatohet për diçka në inventarin tuaj. Nuk do të thotë që një pajisje fqinje e shfrytëzoi makinën.

Kontrolli 2: kush është sulmuesi në model

Modeli i kërcënimit supozon një sulmues fqinj që mund të ndërveprojë me rrjetin e aksesit të viktimës. Ky është një pozicion i caktuar, jo një shërbim i largët arbitrar që nuk i pëlqen nyja juaj e daljes. Nëse përdoruesit lidhen nga një kafene, supozimi është realist; nëse janë pas një rrjeti lokal korporativ të menaxhuar, është një bisedë tjetër.

Mbajeni të hapur çështjen e besimit në rrjetin lokal edhe kur tuneli është i kriptuar. Kriptimi i përgjigjet një pyetjeje tjetër nga fqinjësia.

Kontrolli 3: në cilën shtresë mbështeteni

Një HTTPS i vërtetuar saktë ofron mbrojtjen e vet për të dhënat e aplikacionit, dhe TLS 1.3 i vërteton ato të dhëna nga skaji në skaj. Nuk premton që një sulmues nuk mund të ndërpresë lidhjen TCP themelore. Prandaj një aplikacion mund të jetë i sigurt për t u lexuar dhe njëkohësisht i ndërprerë, dhe ndërprerja nuk është i njëjti rezultat si zbulimi. Ndajini të dyja përpara se të vlerësoni rrezikun.

Ai dallim ka rëndësi për raportin. E shndërron një pohim të paqartë se VPN-ja është e pasigurt në një deklaratë të kufizuar për atë që një sulmues fqinj mund të vëzhgonte ose ndërpriste.

Kontrolli 4: çfarë mase zbutëse zbatoni në të vërtetë

Publikimi diskuton masa zbutëse të rrugëtimit dhe filtrimit dhe është i qartë për kufijtë e tyre, përfshirë filtrimin e rrugës së kthimit dhe rrugët asimetrike. Mos ngjitni një vlerë sysctl në çdo host VPN dhe mos thoni se u zgjidh. Filtrimi i rrugës së kthimit ndërvepron me rrugëtimin, kështu që një vlerë që ndihmon një topologji mund të prishë një tjetër.

Verifikimi është një komandë, jo një kuti shënimi. sysctl net.ipv4.conf.all.rp_filter tregon vlerën globale, dhe sysctl net.ipv4.conf.tun0.rp_filter tregon vlerën për ndërfaqe që zbatohet në të vërtetë. Lexoni të dyja para dhe pas çdo ndryshimi.

Përdorni udhëzimet e shpërndarjes dhe dizajnin tuaj të rrugëtimit, pastaj konfirmoni cilësimin në ndërfaqen që mban tunelin, jo në një skedar që askush nuk e ngarkoi.

Çfarë të shënoni

Shënoni supozimin e sulmuesit fqinj, paketën e kernelit që ekzekutohet, rreshtin e njoftimit që përputhët, masën e zbatuar dhe ku zbatohet, dhe mbrojtjet e aplikacionit që ekzistojnë. Shtoni datën kur e kontrolluat njoftimin, sepse ato faqe ndryshojnë. Ky kombinim është një vlerësim i mbrojtshëm.

Një datë publikimi e sistemit operativ dhe një lidhje VPN që funksionon nuk janë vlerësim. Janë dy fakte që rastësisht janë të lehta për t u mbledhur.