BDU:2020-01707 (CVE-2019-14899)

Уязвимость операционной системы Linux, связанная с ошибкой определения подключения к сети VPN, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2020-04-23

Описание

Уязвимость операционной системы Linux связана с ошибкой определения подключения к сети VPN. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

LinuxDebian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)

Способ устранения

Использование рекомендаций:
Для Debian:
Обновление программного обеспечения (пакета linux) до 5.4.19-1 или более поздней версии

Для Astra Linux:
Обновление программного обеспечения (пакета linux) до 5.4.19-1 или более поздней версии

Компенсирующие меры:
- использование зашифрованных VPN-протоколов с надежной проверкой целостности (IPsec/ESP, OpenVPN, WireGuard);

- усиление защиты через использование DNS поверх HTTPS (DoH) или DNS поверх TLS (DoT);
- использование анти-спуфинг правил и фильтрация по MAC/IP-адресам.

Оценка CVSS

Балл	7.4 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2019-14899 https://security-tracker.debian.org/tracker/CVE-2019-14899 https://openvpn.net/security-advisory/no-flaws-found-in-openvpn-software/https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-14899 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81

Проверьте безопасность своего сайта и почты → Полная проверка домена