Ποια διεργασία VPN αφορά αυτό το εύρημα ευπάθειας;

Ένα αποτέλεσμα σαρωτή ονομάζει μια διεύθυνση, μια θύρα και κάτι που διαπραγματεύτηκε εκεί. Δεν ονομάζει τη διεργασία πίσω από αυτό το socket, και σε έναν κεντρικό υπολογιστή VPN πολλές διεργασίες μπορούν να μοιράζονται το μηχάνημα ενώ μόνο μία από αυτές είναι η σήραγγα. Η ανάγνωση μιας συμβολοσειράς έκδοσης από ένα βοηθητικό εργαλείο ή η εύρεση ενός αρχείου βιβλιοθήκης στον δίσκο προσθέτει στοιχεία για τον κεντρικό υπολογιστή, όχι για τον ακροατή. Το εύρημα γίνεται αξιοποιήσιμο μόνο όταν συνδεθεί με ένα στοιχείο σε λειτουργία και μετά αντιστοιχιστεί με το εύρος που δηλώνει πραγματικά μια ειδοποίηση.

Η σειρά έχει σημασία: πρώτα το στοιχείο, δεύτερη η ειδοποίηση, τρίτη η αποκατάσταση.

Η αναφορά ονομάζει θύρα, όχι πρόγραμμα

Ξεκινήστε από το τελικό σημείο που αξιολογήθηκε πραγματικά. Ένας έλεγχος στη θύρα διαχείρισης HTTPS μέτρησε την υπηρεσία ιστού, τη στοίβα TLS της και όποιον διακομιστή μεσολάβησης βρίσκεται μπροστά της· δεν έμαθε τίποτα για τον ακροατή OpenVPN ή WireGuard σε άλλη θύρα. Οι αντίστροφοι διακομιστές μεσολάβησης και οι πράκτορες διαχείρισης το χειροτερεύουν, γιατί το πιστοποιητικό και το banner μπορεί να ανήκουν στο μπροστινό μέρος ενώ η ευπαθής βιβλιοθήκη βρίσκεται πίσω του σε διεργασία υποβάθρου.

Καταγράψτε τον προορισμό, τη μεταφορά, τη θύρα και το όνομα υπηρεσίας μαζί με το αποτέλεσμα, ώστε το εύρος να ταξιδεύει με το εύρημα.

Τι είναι πραγματικά η έκδοση που εκτελείται

Σε έναν κεντρικό υπολογιστή γενικού σκοπού, το εγκατεστημένο πακέτο και η φορτωμένη βιβλιοθήκη είναι ξεχωριστά ζητήματα. Μια βάση δεδομένων πακέτων μπορεί να εμφανίζει μια διορθωμένη έκδοση ενώ ένας μακροχρόνιος δαίμονας κρατά ακόμη το παλιό κοινόχρηστο αντικείμενο στη μνήμη, και μια ενσωματωμένη εικόνα συσκευής μπορεί να φέρει δικές της βιβλιοθήκες που κανένας διαχειριστής πακέτων δεν αναφέρει. Ρωτήστε τον διαχειριστή υπηρεσιών τι εκτελείται και μετά εξετάστε τη διεργασία και τις συνδέσεις της.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Η ώρα έναρξης στη λίστα διεργασιών είναι η λεπτομέρεια που οι άνθρωποι προσπερνούν. Ένας δαίμονας που ξεκίνησε πριν από την τελευταία αναβάθμιση πακέτων εκτελεί ακόμη την έκδοση που φόρτωσε κατά την εκκίνηση, και αυτή είναι ακριβώς η περίπτωση όπου ένα απόθεμα λέει διορθωμένο και το socket λέει κάτι άλλο.

Αντιστοίχιση της έκδοσης με το εύρος μιας ειδοποίησης

Οι ειδοποιήσεις περιγράφουν προϊόντα, εκδόσεις και μερικές φορές απαιτούμενες συνθήκες, και αυτά τα τρία πεδία δεν ευθυγραμμίζονται πάντα με την έκδοση ενός πακέτου. Η ειδοποίηση Heartbleed του OpenVPN από τον Απρίλιο 2014 είναι ένα χρήσιμο ιστορικό παράδειγμα, γιατί διαχωρίζει τις επηρεαζόμενες εκδόσεις του Access Server από τις υπηρεσίες ιστού και τους δαίμονες VPN, που είχαν διαφορετική έκθεση. Το δίδαγμα είναι να διαβάζετε ποιο στοιχείο καλύπτει το κείμενο αντί να αντιστοιχίζετε με μοτίβο τη λέξη OpenSSL.

Αυτή η ειδοποίηση είναι επίσης παλιά. Οι διορθωμένοι αριθμοί έκδοσης δεν είναι πλέον συμβουλή εγκατάστασης, και ένα σφάλμα που διορθώθηκε το 2014 δεν λέει τίποτα για μεταγενέστερα ζητήματα στον κλάδο που εκτελείτε σήμερα.

Επίλυση της διαφωνίας και μετά κλείσιμο της έκθεσης

Όταν το απόθεμα και η αξιολόγηση διαφωνούν, ελέγξτε αν και τα δύο περιγράφουν το ίδιο τελικό σημείο και περιβάλλον εκτέλεσης: άλλη διεύθυνση, μεσολαβητής στο μπροστινό μέρος, δεύτερη υπηρεσία, παλιά διεργασία ακόμη δεσμευμένη στη θύρα ή ενσωματωμένη βιβλιοθήκη που ο διαχειριστής πακέτων δεν είδε ποτέ. Λύστε το στα σύνορα πριν ξαναγράψετε μια αναφορά.

Εφαρμόστε τη υποστηριζόμενη διόρθωση, επανεκκινήστε την επηρεαζόμενη υπηρεσία και επιβεβαιώστε ότι η νέα έκδοση είναι αυτή που εκτελείται τώρα. Ένα διορθωμένο αρχείο στον δίσκο με την παλιά διεργασία να εξυπηρετεί ακόμη κίνηση δεν είναι αποκατάσταση.

Στη συνέχεια χειριστείτε ό,τι μπορεί να κρατούσε το στοιχείο κατά τη διάρκεια του παραθύρου έκθεσης. Η επιδιόρθωση και η αντικατάσταση διαπιστευτηρίων απαντούν σε διαφορετικά ερωτήματα, και ένα πιστοποιητικό που αποθηκεύεται κοντά στον επηρεαζόμενο κεντρικό υπολογιστή δεν είναι από μόνο του κατάλογος του τι διέρρευσε. Ακολουθήστε τη διαδικασία του υπευθύνου περιστατικού για ανάκληση, αφαίρεση συνεδριών και ενημερώσεις πελατών, και καταγράψτε ποιο στοιχείο επηρεάστηκε, γιατί ίσχυαν τα στοιχεία και τι το έκλεισε. Αυτή η καταγραφή είναι ό,τι θα διαβάσει μια μεταγενέστερη ανασκόπηση.