Koji VPN proces pogađa taj nalaz ranjivosti?

Rezultat skenera navodi adresu, port i nešto o čemu se tamo pregovaralo. Ne navodi proces iza tog socketa, a na VPN hostu više procesa može dijeliti stroj dok je samo jedan od njih tunel. Čitanje verzije iz pomoćnog alata ili pronalaženje bibliotečne datoteke na disku dodaje dokaz o hostu, ne o slušaču. Nalaz postaje primjenjiv tek kada se veže za jednu pokrenutu komponentu i zatim uskladi s opsegom koji savjet zaista navodi.

Redoslijed je važan: prvo komponenta, drugo savjet, treće otklanjanje.

Izvještaj navodi port, a ne program

Pođite od krajnje točke koja je zaista procijenjena. Provjera protiv administrativnog porta HTTPS izmjerila je web uslugu, njezin TLS stog i svaki proxy ispred nje; nije naučila ništa o OpenVPN ili WireGuard slušaču na drugom portu. Obrnuti proxyji i upravljački agenti to pogoršavaju, jer certifikat i baner mogu pripadati prednjem dijelu dok ranjiva biblioteka stoji iza njega u pozadinskom procesu.

Zabilježite odredište, prijenos, port i naziv usluge uz rezultat kako bi opseg putovao s nalazom.

Što je zapravo pokrenuta verzija

Na hostu opće namjene instalirani paket i učitana biblioteka odvojena su pitanja. Baza paketa može navesti zakrpljenu verziju dok dugotrajni daemon još drži stari zajednički objekt u memoriji, a ugrađena slika uređaja može nositi vlastite biblioteke koje nijedan upravitelj paketa ne prijavljuje. Pitajte upravitelja usluga što se izvršava, zatim pregledajte proces i njegove veze.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Vrijeme početka na popisu procesa je detalj koji ljudi preskaču. Daemon pokrenut prije posljednjeg ažuriranja paketa još izvršava verziju koju je učitao pri podizanju, i to je upravo slučaj u kojem inventar kaže popravljeno, a socket kaže suprotno.

Usklađivanje verzije s opsegom savjeta

Savjeti opisuju proizvode, verzije i ponekad potrebne uvjete, a ta se tri polja ne poklapaju uvijek s verzijom paketa. OpenVPN-ov savjet o Heartbleedu iz travnja 2014. koristan je povijesni primjer jer odvaja pogođena izdanja Access Servera od web usluga i VPN daemona, koji su imali različitu izloženost. Pouka je pročitati koju komponentu tekst pokriva, umjesto usklađivanja riječi OpenSSL po uzorku.

Taj je savjet i zastario. Njegovi popravljeni brojevi izdanja danas nisu instalacijski savjet, a nedostatak popravljen 2014. godine ne govori ništa o kasnijim problemima u grani koju danas pokrećete.

Rješavanje neslaganja, pa zatvaranje izloženosti

Kada se inventar i procjena razilaze, provjerite opisuju li oba istu krajnju točku i okruženje izvršavanja: drugu adresu, prednji proxy, drugu uslugu, stari proces još vezan za port ili ugrađenu biblioteku koju upravitelj paketa nikada nije vidio. Riješite to na granici prije nego što prepišete izvještaj.

Primijenite podržani ispravak, ponovno pokrenite pogođenu uslugu i potvrdite da nova verzija sada radi. Zakrpljena datoteka na disku dok stari proces još poslužuje promet nije otklanjanje.

Zatim se pozabavite onim što je komponenta mogla držati tijekom razdoblja izloženosti. Krpanje i zamjena vjerodajnica odgovaraju na različita pitanja, a certifikat pohranjen blizu pogođenog hosta nije sam po sebi popis onoga što je procurilo. Slijedite postupak vlasnika incidenta za opoziv, uklanjanje sesija i ažuriranja klijenata te zabilježite koja je komponenta bila pogođena, zašto su dokazi bili primjenjivi i što ju je zatvorilo. Taj će zapis čitati kasniji pregled.