CVE-2019-14899 sizi etkiliyor mu? Çekirdek için bir kontrol listesi

Bir tarayıcı, yıllardır VPN çalıştıran bir makinede CVE-2019-14899 işaretler ve ilk tepki VPN’in bozuk olduğunu söylemek olur. Bu yanlış çerçevedir. Açıklanan sorun, kurbanın yerel ağındaki bir saldırganın belirli TCP bağlantıları hakkında bilgi çıkarmasıyla ilgilidir, bir web sitesinin tünelinizi şifresini çözmesiyle değil.

Aşağıdaki dört kontrolü sırayla yapın. Her biri ya sorunu daraltır ya da soruşturmayı bitirir.

Kontrol 1: duyuru çekirdeğinizi kapsıyor mu

Bir blogun sürüm tarihi özetini değil, kendi dağıtımınızın kaydını arayın. Bu CVE için Ubuntu güvenlik sayfası, 18.04 LTS için genel linux paketini düzeltmesi ertelenmiş olarak savunmasız listeler ve diğer çekirdek paketlerini ayrı satırlarda izler. Çalışan sürümünüzü ve çekirdek paketinizi doğru satırla eşleştirin. Tanıdık görünen bir sürüm numarası eşleşme değildir.

Tarayıcı bulgusu, tanımlayıcının envanterinizdeki bir şeye uygulandığı anlamına gelir. Komşu bir cihazın makineyi kötüye kullandığı anlamına gelmez.

Kontrol 2: modelde saldırgan kim

Tehdit modeli, kurbanın erişim ağıyla etkileşime girebilen komşu bir saldırgan varsayar. Bu belirli bir konumdur, çıkış düğümünüzü sevmeyen rastgele bir uzak hizmet değildir. Kullanıcılar bir kafeden bağlanıyorsa varsayım gerçekçidir; yönetilen bir kurumsal yerel ağın arkasındaysa bu başka bir konuşmadır.

Tünel şifreli olsa bile yerel ağa duyulan güven sorusunu açık tutun. Şifreleme komşuluktan farklı bir soruyu yanıtlar.

Kontrol 3: hangi katmana güveniyorsunuz

Doğru doğrulanmış HTTPS, uygulama kayıtları için kendi korumasını sağlar ve TLS 1.3 bu verileri uçtan uca doğrular. Ancak saldırganın alttaki TCP bağlantısını kesemeyeceğini vaat etmez. Bu nedenle bir uygulama okumak için güvenli olabilir ve yine de kesilebilir, kesme ise ifşayla aynı sonuç değildir. Riski değerlendirmeden önce ikisini ayırın.

Bu ayrım rapor için önemlidir. VPN güvensizdir şeklindeki belirsiz iddiayı, komşu bir saldırganın neyi gözlemleyebileceği veya kesebileceğine dair sınırlı bir ifadeye dönüştürür.

Kontrol 4: gerçekte hangi azaltma önlemini uyguladınız

Açıklama yönlendirme ve filtreleme azaltmalarını tartışır ve sınırları konusunda açıktır; ters yol filtrelemesi ve asimetrik rotalar dahil. Bir sysctl değerini her VPN ana makinesine yapıştırıp çözüldü demeyin. Ters yol filtrelemesi yönlendirme ile etkileşir, bu nedenle bir topolojiye yardımcı olan değer diğerini bozabilir.

Doğrulama bir komuttur, onay kutusu değil. sysctl net.ipv4.conf.all.rp_filter genel değeri gösterir ve sysctl net.ipv4.conf.tun0.rp_filter gerçekte geçerli olan arayüz değerini gösterir. Herhangi bir değişiklikten önce ve sonra ikisini de okuyun.

Dağıtımın yönergelerini ve kendi yönlendirme tasarımınızı kullanın, ardından ayarı tüneli taşıyan arayüzde doğrulayın, kimsenin yüklemediği bir dosyada değil.

Neyin kaydedileceği

Komşu saldırgan varsayımını, çalışan çekirdek paketini, eşleştirdiğiniz duyuru satırını, uygulanan azaltmayı ve nerede geçerli olduğunu ve mevcut uygulama korumalarını kaydedin. Duyuruyu kontrol ettiğiniz tarihi ekleyin, çünkü o sayfalar değişir. Bu bileşim savunulabilir bir değerlendirmedir.

Bir işletim sistemi sürüm tarihi ve çalışan bir VPN bağlantısı değerlendirme değildir. Tesadüfen toplanması kolay iki olgudur.