Voor het implementeren van een tijdelijke mitigatie voor de Dirty Frag en Copy Fail 2 Linux-Kernelkwetsbaarheden, is het belangrijk te controleren of je IPsec/ESP, xfrm of RxRPC/AFS gebruikt. In dit artikel leggen we uit hoe je dit doet.

Uitleg terminologie

IPsec/ESP

IPsec is een set netwerkprotocollen om IP-verkeer te beveiligen, vaak gebruikt voor VPN-verbindingen tussen servers, kantoren of netwerken. ESP staat voor Encapsulating Security Payload en is het onderdeel van IPsec dat verkeer versleutelt en/of de integriteit controleert.

xfrm

xfrm is het Linux-kernelonderdeel dat IPsec-verkeer verwerkt. Tools en daemons zoals strongSwan of Libreswan gebruiken xfrm om IPsec-regels, versleuteling en beveiligde netwerkverbindingen in de kernel te configureren.

RxRPC

RxRPC is een kernelprotocol voor remote procedure calls. Het wordt vooral gebruikt als transportlaag voor AFS- functionaliteit. Op de meeste VPS’en wordt dit niet bewust gebruikt.

AFS

AFS staat voor Andrew File System. Dit is een gedistribueerd bestandssysteem waarmee bestanden over meerdere systemen of netwerken beschikbaar kunnen worden gemaakt. In Linux kan AFS gebruikmaken van RxRPC. Voor standaard webservers, databases of gewone VPS-workloads is AFS meestal niet in gebruik.

Controleren of je VPS IPsec/ESP, xfrm of RxRPC/AFS gebruikt

Controles voor xfrm/IPsec

Controleer eerst of er actieve xfrm/IPsec state policies actief zijn:

sudo ip xfrm state
sudo ip xfrm policy

Als beide commando’s geen entries tonen, gebruikt het systeem op dat moment waarschijnlijk geen kernel-IPsec/xfrm-configuratie. Als er wel entries staan, is IPsec/xfrm actief en kan het blokkeren van esp4/esp6 verkeer breken.

Aanvullende controles voor IPsec/ESP:

# Controleer of relevante kernelmodules geladen zijn
lsmod | egrep '^(esp4|esp6|xfrm_user|xfrm_algo|af_key)'

# Controleer op bekende IPsec-daemons
systemctl --type=service | egrep 'strongswan|libreswan|ipsec|racoon'

# Controleer of IKE/NAT-T-poorten in gebruik zijn
sudo ss -lunp | egrep ':(500|4500)\b'

Controles voor RxRPC/AFS:

# Controleer of RxRPC/AFS-kernelmodules geladen zijn
lsmod | egrep '^(rxrpc|kafs|openafs)'

# Controleer op AFS-processen of services
ps aux | egrep 'afs|openafs|kafs' | grep -v grep
systemctl --type=service | egrep 'afs|openafs'

De output interpreteren

• Zie je esp4, esp6, xfrm_* of een daemon zoals strongSwan/Libreswan, controleer dan eerst je VPN/IPsec-configuratie voordat je eventuele mitigaties toepast.
• Zie je rxrpc, kafs of openafs, dan kan het blokkeren van rxrpc invloed hebben op AFS-functionaliteit.
• Krijg je nergens relevante output, dan is de kans kleiner dat de tijdelijke mitigatie voor Dirt Frag of Copy Fail 2 functionele impact heeft, maar testen blijft verstandig.