Ṣé CVE-2019-14899 kan ọ? Àkójọ àyẹ̀wò fún kernel

Ẹ̀rọ àyẹ̀wò kan ń fi CVE-2019-14899 hàn lórí ẹ̀rọ tí ó ti lo VPN fún ọ̀pọ̀ ọdún, àti ìmọ̀lára àkọ́kọ́ ni láti sọ pé VPN ti bàjẹ́. Ìyẹn kì í ṣe ìlà tó tọ́. Ọ̀rọ̀ tí wọ́n ṣí payá kan ẹnìkan tí ń kọlu lórí nẹ́tíwọ́kì àdúgbò ẹni tí wọ́n ṣe léèwọ̀ tí ń yọ àlàyé jáde nípa àwọn ìsopọ̀ TCP kan, kì í ṣe ojú-òpó tí ń yọ ìdìpọ̀ tunnel rẹ kúrò.

Lọ gbà àwọn àyẹ̀wò mẹ́rin tí ó wà nísàlẹ̀ ní ìtẹ̀lésẹ́. Ọ̀kọ̀ọ̀kan yóò dín ìṣòro kù tàbí ó máa parí ìwádìí.

Àyẹ̀wò 1: ṣé ìkìlọ̀ náà bo kernel rẹ

Wá àkọsílẹ̀ ìpínpín tirẹ fúnra rẹ, kì í ṣe àkópọ̀ àkọsílẹ̀ ọjọ́ ìtújáde láti inú blog. Ojú-ìwé ààbò Ubuntu fún CVE yìí ṣe àkójọ àpò linux gbogbogbò fún 18.04 LTS gẹ́gẹ́ bí aláìlera pẹ̀lú àtúnṣe tí wọ́n fi falẹ̀, ó sì ń tọpinpin àwọn àpò kernel mìíràn ní ìlà ọ̀tọ̀ọ̀tọ̀. So ìtújáde tí ń ṣiṣẹ́ àti àpò kernel rẹ pọ̀ mọ́ ìlà tó tọ́. Nọ́mbà ẹ̀dà tí ó dà bí ẹni mọ̀ kì í ṣe ìbámu.

Èsì àyẹ̀wò túmọ̀ sí pé ìdánimọ̀ náà kan ohun kan nínú àkójọ rẹ. Kì í túmọ̀ sí pé ẹ̀rọ tó wà nítòsí ti lo ẹ̀rọ náà lọ́nà tí kò tọ́.

Àyẹ̀wò 2: ta ni apànìyàn nínú àwòṣe

Àwòṣe ìhalẹ̀ gbà pé apànìyàn tó wà nítòsí tí ó lè bá nẹ́tíwọ́kì àbáwọlé ẹni tí wọ́n ṣe léèwọ̀ ṣiṣẹ́. Ìyẹn jẹ́ ipò pàtó, kì í ṣe iṣẹ́ àjèjì tó wà lọ́nà jíjìn tí kò fẹ́ràn node ìjáde rẹ. Bí àwọn olùlò bá ń sopọ̀ láti kafé, ìrònú náà jẹ́ ojúlówó; bí wọ́n bá wà lẹ́yìn LAN ilé-iṣẹ́ tí wọ́n ń ṣàkóso, ìyẹn jẹ́ ọ̀rọ̀ mìíràn.

Fi ìbéèrè nípa ìgbẹ́kẹ̀lé nẹ́tíwọ́kì àdúgbò sílẹ̀ ní ṣíṣí àní nígbà tí tunnel ti jẹ́ pípamọ́. Ìpamọ́ ń dáhùn ìbéèrè tó yàtọ̀ sí ìsúnmọ́.

Àyẹ̀wò 3: èwo ìpele ni o gbẹ́kẹ̀lé

HTTPS tí a ti fìdí rẹ̀ múlẹ̀ dáadáa ń pèsè ààbò tirẹ̀ fún àwọn àkọsílẹ̀ ohun èlò, TLS 1.3 sì ń fìdí dátà yẹn múlẹ̀ láti ìkángun dé ìkángun. Ṣùgbọ́n kò ṣe ìlérí pé apànìyàn kò lè já ìsopọ̀ TCP tó wà nísàlẹ̀ náà. Nítorí náà ohun èlò lè jẹ́ ààbò láti kà ṣùgbọ́n ó ṣì lè jẹ́ dídá dúró, ìdádúró kì í sì ṣe àbájáde kan náà pẹ̀lú ìṣípayá. Ya àwọn méjèèjì sọ́tọ̀ kí o tó díwọ̀n ewu.

Ìyàtọ̀ yẹn ṣe pàtàkì fún ìjábọ̀. Ó yí ẹ̀sùn àìdánilójú pé VPN kò ní ààbò padà sí ọ̀rọ̀ tí ó ní ààlà nípa ohun tí apànìyàn tó wà nítòsí lè kíyèsí tàbí dá dúró.

Àyẹ̀wò 4: èwo ọ̀nà ìdínkù ni o gbé kalẹ̀ gan-an

Ìṣípayá náà jíròrò àwọn ọ̀nà ìdínkù ìtọ́sọ́nà àti àyọ̀, ó sì ṣe àlàyé nípa àwọn ààlà wọn, pẹ̀lú àyọ̀ ọ̀nà àpadà àti àwọn ọ̀nà tí kò dọ́gba. Má ṣe fi iye sysctl kan pọ̀ mọ́ gbogbo ẹ̀rọ VPN kí o sì sọ pé ó ti yanjú. Àyọ̀ ọ̀nà àpadà ń bá ìtọ́sọ́nà ṣiṣẹ́, nítorí náà iye tí ó ń ràn ìtòlẹ́sẹẹsẹ kan lọ́wọ́ lè ba òmíràn jẹ́.

Àyẹ̀wò jẹ́ àṣẹ, kì í ṣe àpótí àmì. sysctl net.ipv4.conf.all.rp_filter ń fi iye àgbáyé hàn, sysctl net.ipv4.conf.tun0.rp_filter sì ń fi iye fún ìfararaji tí ó ń ṣiṣẹ́ gan-an hàn. Ka àwọn méjèèjì kí o tó ṣe àyípadà kankan àti lẹ́yìn rẹ̀.

Lo ìtọ́sọ́nà ìpínpín àti àpẹẹrẹ ìtọ́sọ́nà tirẹ, lẹ́yìn náà fìdí ìṣètò náà múlẹ̀ lórí ìfararaji tí ń gbé tunnel, kì í ṣe nínú fáìlì tí ẹnikẹ́ni kò gbé.

Ohun tí o yẹ kí o kọ

Kọ ìrònú apànìyàn tó wà nítòsí, àpò kernel tí ń ṣiṣẹ́, ìlà ìkìlọ̀ tí o so pọ̀, ọ̀nà ìdínkù tí a gbé kalẹ̀ àti ibi tí ó ti ń ṣiṣẹ́, àti àwọn ààbò ohun èlò tó wà. Fi ọjọ́ tí o yẹ̀wò ìkìlọ̀ náà kún un, nítorí àwọn ojú-ìwé yẹn ń yí padà. Àkópọ̀ yẹn jẹ́ ìdíwọ̀n tí a lè gbèjà.

Ọjọ́ ìtújáde OS àti ìsopọ̀ VPN tí ń ṣiṣẹ́ kì í ṣe ìdíwọ̀n. Wọ́n jẹ́ òtítọ́ méjì tí ó ṣẹlẹ̀ pé ó rọrùn láti kójọ.