Да ли вас погађа CVE-2019-14899? Контролна листа за језгро

Скенер означава CVE-2019-14899 на машини која годинама користи VPN, а прва помисао је прогласити VPN поквареним. То је погрешан оквир. Објављени проблем тиче се нападача на локалној мрежи жртве који закључује о појединим TCP везама, а не веб странице која дешифрује ваш тунел.

Прођите кроз четири провере испод, редом. Свака или сужава проблем или завршава истрагу.

Провера 1: покрива ли савет ваше језгро

Потражите властити запис своје дистрибуције, а не сажетак блога о датуму издања. Безбедносна страница Ubuntua за овај CVE наводи генерички пакет linux за 18.04 LTS као рањив са одложеном исправком и прати остале пакете језгра у засебним редовима. Упарите издање које користите и пакет језгра са правим редом. Познат број верзије није подударање.

Погодак скенера значи да се идентификатор односи на нешто у вашем попису. Не значи да је суседни уређај искористио машину.

Провера 2: ко је нападач у моделу

Модел претње претпоставља суседног нападача који може да комуницира са приступном мрежом жртве. То је одређена позиција, а не произвољна удаљена услуга којој се не свиђа ваш излазни чвор. Ако се корисници повезују из кафића, претпоставка је реална; ако су иза управљане корпоративне локалне мреже, то је други разговор.

Држите питање поверења у локалну мрежу отвореним чак и кад је тунел шифрован. Шифровање одговара на друго питање од суседства.

Провера 3: на који се слој ослањате

Исправно валидиран HTTPS пружа властиту заштиту за записе апликације, а TLS 1.3 аутентификује те податке од краја до краја. Не обећава да нападач не може да прекине основну TCP везу. Апликација зато може бити безбедна за читање, а ипак прекидива, и прекид није исти исход као откривање. Раздвојите то пре процене ризика.

Та разлика је важна за извештај. Она нејасну тврдњу да је VPN несигуран претвара у ограничену изјаву о томе шта би суседни нападач могао приметити или прекинути.

Провера 4: коју сте меру ублажавања стварно применили

Објава расправља о мерама усмеравања и филтрирања и изричита је о њиховим границама, укључујући филтрирање повратне путање и асиметричне руте. Не лепите једну вредност sysctl на сваки VPN хост и не називајте то решеним. Филтрирање повратне путање делује заједно са усмеравањем, па вредност која помаже једној топологији може покварити другу.

Провера је команда, а не поље за означавање. sysctl net.ipv4.conf.all.rp_filter показује глобалну вредност, а sysctl net.ipv4.conf.tun0.rp_filter показује вредност по интерфејсу која заиста важи. Прочитајте обе пре и после сваке промене.

Користите смернице дистрибуције и властити дизајн усмеравања, па потврдите поставку на интерфејсу који носи тунел, а не у датотеци коју нико није учитао.

Шта записати

Запишите претпоставку о суседном нападачу, пакет језгра који ради, ред савета који сте упарили, примењену меру и где се примењује, те постојеће заштите апликације. Додајте датум кад сте проверили савет, јер се те странице мењају. Та комбинација је одржива процена.

Датум издања ОС-а и радна VPN веза нису процена. То су две чињенице које је случајно лако прикупити.