CVE-2019-14899 sizga ta’sir qildimi? Yadro uchun tekshiruv ro’yxati

Skaner yillar davomida VPN ishlatib kelayotgan mashinada CVE-2019-14899 ni belgilaydi va birinchi tuyg’u VPN buzilgan deb e’lon qilishdir. Bu noto’g’ri ramka. Oshkor qilingan masala qurbonning mahalliy tarmog’idagi hujumchining ayrim TCP ulanishlari haqida ma’lumot chiqarishiga oid, veb-sayt tunnelni shifrini ochishi emas.

Quyidagi to’rtta tekshiruvni tartib bilan bajaring. Har biri muammoni toraytiradi yoki tekshiruvni tugatadi.

Tekshiruv 1: ogohlantirish yadrongizni qamrab oladimi

Blogning chiqarilgan sana xulosasini emas, o’z distributivingizning yozuvini qidiring. Ushbu CVE uchun Ubuntu xavfsizlik sahifasi 18.04 LTS uchun umumiy linux paketini tuzatish kechiktirilgan holda zaif deb sanaydi va boshqa yadro paketlarini alohida qatorlarda kuzatadi. Ishlayotgan versiyangiz va yadro paketingizni to’g’ri qator bilan moslang. Tanish ko’ringan versiya raqami moslik emas.

Skaner natijasi identifikator inventaringizdagi biror narsaga tegishli ekanini bildiradi. Qo’shni qurilma mashinadan foydalanganini bildirmaydi.

Tekshiruv 2: modeldagi hujumchi kim

Tahdid modeli qurbonning kirish tarmog’i bilan ishlay oladigan qo’shni hujumchini nazarda tutadi. Bu muayyan pozitsiya, chiqish tuguningizni yoqtirmaydigan har qanday masofaviy xizmat emas. Foydalanuvchilar kafedan ulansa, taxmin haqiqiy; ular boshqariladigan korporativ mahalliy tarmoq orqasida bo’lsa, bu boshqa gap.

Tunnel shifrlangan bo’lsa ham mahalliy tarmoqqa ishonch savolini ochiq qoldiring. Shifrlash qo’shnilikdan boshqa savolga javob beradi.

Tekshiruv 3: qaysi qatlamga tayanysiz

To’g’ri tekshirilgan HTTPS ilova yozuvlari uchun o’z himoyasini beradi va TLS 1.3 bu ma’lumotni uchdan uchga tasdiqlaydi. Ammo hujumchi ostidagi TCP ulanishini to’xtata olmasligiga kafolat bermaydi. Shuning uchun ilova o’qish uchun xavfsiz bo’lib, baribir to’xtatilishi mumkin, to’xtatish esa oshkor qilish bilan bir xil natija emas. Xavfni baholashdan oldin ikkalasini ajrating.

Bu farq hisobot uchun muhim. U VPN xavfsiz emas degan noaniq da’voni qo’shni hujumchi nimani kuzata olgani yoki to’xtata olgani haqidagi cheklangan bayonotga aylantiradi.

Tekshiruv 4: qaysi yumshatish chorasini amalda qo’lladingiz

Oshkor qilish marshrutlash va filtrlash yumshatish choralarini muhokama qiladi va ularning chegaralari haqida aniq, shu jumladan teskari yo’l filtrlash va assimetrik marshrutlar. Bitta sysctl qiymatini har bir VPN xostga yopishtirib, hal qilindi demang. Teskari yo’l filtrlash marshrutlash bilan o’zaro ta’sirlashadi, shuning uchun bir topologiyaga yordam beradigan qiymat boshqasini buzishi mumkin.

Tekshiruv bu buyruq, katakcha emas. sysctl net.ipv4.conf.all.rp_filter global qiymatni ko’rsatadi va sysctl net.ipv4.conf.tun0.rp_filter amalda qo’llaniladigan interfeys qiymatini ko’rsatadi. Har qanday o’zgarishdan oldin va keyin ikkalasini o’qing.

Distributiv yo’riqnomasi va o’z marshrutlash dizayningizdan foydalaning, so’ng tunnelni ko’tarib turgan interfeysda sozlamani tasdiqlang, hech kim yuklamagan faylda emas.

Nimani yozib qo’yish kerak

Qo’shni hujumchi taxminini, ishlayotgan yadro paketini, moslangan ogohlantirish qatorini, qo’llanilgan yumshatish chorasini va uning qo’llanish joyini, shuningdek mavjud ilova himoyalarini yozib qo’ying. Ogohlantirishni tekshirgan sanani qo’shing, chunki bu sahifalar o’zgaradi. Bu birikma himoya qilish mumkin bo’lgan baholashdir.

OS chiqarilgan sana va ishlayotgan VPN ulanishi baholash emas. Bu tasodifan yig’ish oson bo’lgan ikki fakt.