Zein VPN prozesuri eragiten dio ahultasun-aurkikuntza horrek?

Eskaner baten emaitzak helbide bat, ataka bat eta han negoziatu den zerbait aipatzen ditu. Ez du socket horren atzeko prozesua aipatzen, eta VPN ostalari batean hainbat prozesuk makina parteka dezakete, horietako bat bakarrik tunela izanik. Alboko utilitate bateko bertsio-katea irakurtzeak edo diskoan liburutegi-fitxategi bat aurkitzeak ostalariari buruzko frogak gehitzen ditu, ez entzuleari buruzkoak. Aurkikuntza erabilgarria bihurtzen da exekutatzen ari den osagai bakar bati lotzen zaionean eta, ondoren, aholkularitza batek benetan adierazten duen irismenarekin parekatzen denean.

Ordena garrantzitsua da: lehenengo osagaia, bigarrena aholkularitza, hirugarrena konponbidea.

Txostenak ataka bat aipatzen du, ez programa bat

Hasi benetan ebaluatu zen muturretik. HTTPS administrazio atakaren aurkako proba batek web zerbitzua, haren TLS pila eta haren aurrean dagoen proxy oro neurtu zituen; ez zuen ezer ikasi beste ataka bateko OpenVPN edo WireGuard entzuleari buruz. Proxy alderantzizkoek eta kudeaketa-agenteek okerrera egiten dute, ziurtagiria eta bannerra aurreko aldearenak izan baitaitezke, ahultasuneko liburutegia atzeko prozesu batean haren atzean dagoen bitartean.

Erregistratu helmuga, garraioa, ataka eta zerbitzuaren izena emaitzarekin batera, irismenak aurkikuntzarekin batera bidaiatu dezan.

Zer da benetan exekutatzen ari den eraikuntza

Helburu orokorreko ostalari batean, instalatutako paketea eta kargatutako liburutegia galdera desberdinak dira. Paketeen datu-baseak bertsio adabakitua zerrenda dezake, bitartean epe luzeko daemon batek oraindik objektu partekatu zaharra memorian gordetzen duela, eta gailu-irudi bateratuak bere liburutegiak eraman ditzake, pakete-kudeatzaile batek ere ez baititu jakinarazten. Galdetu zerbitzu-kudeatzaileari zer exekutatzen ari den, gero ikuskatu prozesua eta haren estekak.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Prozesu-zerrendako hasiera-ordua jendeak saltatzen duen xehetasuna da. Azken pakete-eguneratzea baino lehen hasitako daemon batek oraindik abioan kargatu zuen eraikuntza exekutatzen du, eta hori da zehazki inbentarioak konponduta dioen eta socketak kontrakoa dioen kasua.

Eraikuntza aholkularitza baten irismenarekin parekatzea

Aholkularitzek produktuak, bertsioak eta batzuetan beharrezko baldintzak deskribatzen dituzte, eta hiru eremu horiek ez datoz beti bat pakete-bertsio batekin. OpenVPNren 2014ko apirileko Heartbleed aholkularitza adibide historiko erabilgarria da, kaltetutako Access Server bertsioak web zerbitzuetatik eta VPN daemonetatik bereizten dituelako, haien esposizioa desberdina baitzen. Ikasgaia testuak zein osagai estaltzen duen irakurtzea da, OpenSSL hitza patroi bidez parekatu beharrean.

Aholkularitza hori ere zaharkituta dago. Haren bertsio-zenbaki konponduak ez dira orain instalazio-aholkua, eta 2014an konpondutako akats batek ez du ezer esaten gaur exekutatzen duzun adarreko geroko arazoei buruz.

Desadostasuna konpontzea eta, ondoren, esposizioa ixtea

Inbentarioa eta ebaluazioa bat ez datozenean, egiaztatu biek mutur eta exekuzio-ingurune bera deskribatzen duten: beste helbide bat, aurreko proxy bat, bigarren zerbitzu bat, oraindik atakari lotuta dagoen prozesu zaharra edo pakete-kudeatzaileak inoiz ikusi ez zuen liburutegi bateratua. Konpondu hori muga-ertzean txostena berridatzi aurretik.

Aplikatu onartutako zuzenketa, berrabiarazi kaltetutako zerbitzua eta egiaztatu eraikuntza berria dela orain exekutatzen ari dena. Diskoan adabakidun fitxategi bat, prozesu zaharrak oraindik trafikoa zerbitzatzen duen bitartean, ez da konponbidea.

Ondoren, esposizio-leihoan zehar osagaiak eduki lezakeenari heldu. Adabakitzeak eta kredentzialak ordezteak galdera desberdinei erantzuten diete, eta kaltetutako ostalariaren ondoan gordetako ziurtagiri bat ez da berez filtratu zenaren zerrenda. Jarraitu gertaeraren jabearen prozedurari baliogabetze, saioak kentzeko eta bezeroen eguneratzeetarako, eta erregistratu zein osagai kaltetu zen, zergatik ziren frogak aplikagarriak eta zer itxi zuen. Erregistro hori da berrikuspen berantiago batek irakurriko duena.