Wéi ee VPN-Prozess betrëfft dës Schwachstelle-Findung?

E Banner, en Numm vun enger Bibliothéiksdatei an en aktive Prozess kënne verschidde Saachen beschreiwen. Verfolleg d’Finding bis op eng Komponent, da gläich se mat dem Ëmfang vun enger Noriicht of.

D’Resultat vun engem Scanner nennt eng Adress, eng Port an eppes, wat do ausgehandelt gouf. Et nennt net de Prozess hannert dësem Socket, an op engem VPN-Host kënne méi Prozesser d’Maschinn deelen, während just ee vun hinnen den Tunnel ass. Eng Versiounszeechen aus engem Niewenhëllefsmëttel liesen oder eng Bibliothéiksdatei um Disk fannen dobäi Beweiser iwwer den Host, net iwwer den Nolauschterer. D’Finding gëtt just dann ëmsetzbar, wann se un eng lafend Komponent ugehaangen an da mam Ëmfang verglach gëtt, deen eng Noriicht tatsächlech ugëtt.

D’Reiefolleg zielt: d’Komponent fir d’éischt, d’Noriicht duerno, d’Reparatur als Lescht.

De Rapport nennt eng Port, net e Programm

Fänk bei deem Endpunkt un, deen tatsächlech bewäert ginn ass. Eng Sonde géint den HTTPS-Administratiounsport huet de Webservice, säin TLS-Stack an all Proxy dovir gemooss; si huet näischt iwwer den OpenVPN- oder WireGuard-Nolauschterer op enger anerer Port geléiert. Ëmgekéiert Proxien a Verwaltungsagenten maachen et méi schlëmm, well den Zertifikat an de Banner kënnen zum Frontend gehéieren, während d’schwach Bibliothéik hannendrun an engem Backend-Prozess läit.

Halt den Zil, den Transport, d’Port an den Numm vum Service mat dem Resultat fest, sou datt den Ëmfang mat der Finding reest.

Wat déi lafend Build tatsächlech ass

Op engem Allzweckhost sinn de installéierte Package an d’geluede Bibliothéik zwee getrennte Froen. Eng Package-Datebank kann eng gepatchte Versioun opzielen, während en Daemon mat langer Lafzäit nach ëmmer dat aalt gedeelt Objet am Späicher hält, an en agebaut Appliance-Image kann seng eege Bibliothéiken droen, déi keen Package-Manager mëldt. Frot de Service-Manager, wat leeft, an ënnersich duerno de Prozess an seng Verlinkungen.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

D’Startzäit an der Prozesslëscht ass de Detail, deen d’Leit iwwersprangen. En Daemon, dee virum leschte Package-Update gestart gouf, leeft nach ëmmer mat der Build, déi en beim Start gelueden huet, an dat ass genee de Fall, wou en Inventar seet gepatcht an de Socket seet eppes anescht.

D’Build mam Ëmfang vun enger Noriicht vergläichen

Noriichte beschreiwen Produkter, Versiounen an heiansdo erfuerderlech Konditiounen, an déi dräi Felder passen net ëmmer zu enger Package-Versioun. Dem OpenVPN seng Heartbleed-Noriicht vum Abrëll 2014 ass en nëtzlecht historescht Beispill, well se déi betraffe Access Server-Versiounen vun de Webservicen an den VPN-Daemone trennt, déi ënnerschiddlech Expositioun haten. D’Lektioun ass ze liesen, wéi eng Komponent den Text ofdeckt, amplaz d’Wuert OpenSSL no Muster ze vergläichen.

Dës Noriicht ass och veroudert. Hir gepatchte Release-Nummere sinn elo kee Installatiounsrot, an e Feeler, deen 2014 behuewe gouf, seet näischt iwwer spéider Problemer an der Branche, déi Dir haut bedreift.

D’Meinungsverschiddenheet léisen, da d’Expositioun schléissen

Wann Inventar an Bewäertung net iwwerenee stëmmen, préift, ob béid deeselwechten Endpunkt an déiselwecht Lafzäit beschreiwen: eng aner Adress, e Frontend-Proxy, en zweete Service, en ale Prozess, deen nach ëmmer un d’Port gebonnen ass, oder eng agebaut Bibliothéik, déi de Package-Manager ni gesinn huet. Léist dat op der Grenz, ier Dir e Rapport nei schreift.

Wend déi ënnerstëtzte Korrektur un, start de betraffene Service nei a bestätegt, datt déi nei Build elo leeft. Eng gepatchte Datei um Disk, während den ale Prozess nach ëmmer Traffic servéiert, ass keng Reparatur.

Da këmmert Iech ëm dat, wat d’Komponent während dem Expositiounsfenster konnt gehalen hunn. Patchen an Ersetze vun Umeldungsinformatiounen beäntweren ënnerschiddlech Froen, an en Zertifikat, deen no beim betraffenen Host gespäichert ass, ass net vu sech aus eng Lëscht vun deem, wat ausgelaf ass. Follegt dem Prozedur vum Incident-Eegentümer fir Widderruff, Sessiounen ze läschen an Client-Updates, a notéiert, wéi eng Komponent betraff war, firwat d’Beweiser gegraff hunn a wat se zougemaach huet. Dee Rekord ass et, wat eng spéider Iwwerpréiwung liest.

Ähnlech Artikelen