Kuru VPN procesu skar šis ievainojamības atradums?

Skenera rezultāts nosauc adresi, portu un kaut ko, par ko tur vienojās. Tas nenosauc procesu aiz šīs ligzdas, un VPN resursdatorā vairāki procesi var dalīt mašīnu, kamēr tikai viens no tiem ir tunelis. Versijas virknes lasīšana no palīgrīka vai bibliotēkas faila atrašana diskā pievieno pierādījumus par resursdatoru, nevis par klausītāju. Atradums kļūst izmantojams tikai tad, kad tas tiek piesaistīts vienai darbojošai komponentei un pēc tam saskaņots ar tvērumu, ko paziņojums faktiski norāda.

Secība ir svarīga: vispirms komponente, pēc tam paziņojums, visbeidzot labojums.

Ziņojums nosauc portu, nevis programmu

Sāciet ar galapunktu, kas faktiski tika novērtēts. Pārbaude pret HTTPS administrācijas portu izmērīja tīmekļa pakalpojumu, tā TLS steķi un jebkuru priekšā esošo starpniekserveri; tā neuzzināja neko par OpenVPN vai WireGuard klausītāju citā portā. Apgrieztie starpniekserveri un pārvaldības aģenti to padara sliktāku, jo sertifikāts un baneris var piederēt priekšpusei, kamēr ievainojamā bibliotēka atrodas aiz tās fonā procesā.

Ierakstiet galamērķi, transportu, portu un pakalpojuma nosaukumu kopā ar rezultātu, lai tvērums ceļotu kopā ar atradumu.

Kas patiesībā ir darbojošā būve

Vispārējas nozīmes resursdatorā instalētā pakotne un ielādētā bibliotēka ir divi atsevišķi jautājumi. Pakotņu datubāze var uzrādīt labotu versiju, kamēr ilgstoši darbojošs dēmons joprojām tur veco koplietoto objektu atmiņā, un iebūvēts ierīces attēls var saturēt savas bibliotēkas, par kurām neziņo neviens pakotņu pārvaldnieks. Pajautājiet pakalpojumu pārvaldniekam, kas darbojas, pēc tam pārbaudiet procesu un tā saites.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Sākuma laiks procesu sarakstā ir detaļa, ko cilvēki izlaiš. Dēmons, kas palaists pirms pēdējā pakotnes atjauninājuma, joprojām izpilda būvi, ko ielādēja startēšanas laikā, un tas ir tieši tas gadījums, kad inventārs saka labots, bet ligzda saka ko citu.

Būves saskaņošana ar paziņojuma tvērumu

Paziņojumi apraksta produktus, versijas un dažkārt nepieciešamos nosacījumus, un šie trīs lauki ne vienmēr atbilst pakotnes versijai. OpenVPN 2014. gada aprīļa Heartbleed paziņojums ir noderīgs vēsturisks piemērs, jo tas atdala skartās Access Server laidienus no tīmekļa pakalpojumiem un VPN dēmoniem, kuriem bija atšķirīga ietekme. Mācība ir lasīt, kuru komponenti teksts aptver, nevis pēc šablona salīdzināt vārdu OpenSSL.

Šis paziņojums arī ir novecojis. Tā labotie laidienu numuri tagad nav instalēšanas padoms, un 2014. gadā labota kļūda neko neizsaka par vēlākām problēmām zarā, ko šodien izmantojat.

Nesaskaņas risināšana un pēc tam ietekmes slēgšana

Kad inventārs un novērtējums nesakrīt, pārbaudiet, vai abi apraksta vienu un to pašu galapunktu un vienu izpildes vidi: citu adresi, priekšējo starpniekserveri, otru pakalpojumu, vecu procesu, kas joprojām piesaistīts portam, vai iebūvētu bibliotēku, ko pakotņu pārvaldnieks nekad nav redzējis. Atrisiniet to pie robežas, pirms pārrakstāt ziņojumu.

Piemērojiet atbalstīto labojumu, restartējiet skarto pakalpojumu un apstipriniet, ka jaunā būve tagad darbojas. Labots fails diskā, kamēr vecais process joprojām apkalpo trafiku, nav labojums.

Pēc tam risiniet to, ko komponente varēja glabāt ietekmes logā. Labošana un akreditācijas datu aizstāšana atbild uz dažādiem jautājumiem, un skartā resursdatora tuvumā glabāts sertifikāts pats par sevi nav saraksts ar to, kas noplūda. Izpildiet incidenta īpašnieka procedūru atsaukšanai, sesiju noņemšanai un klientu atjauninājumiem, un ierakstiet, kura komponente tika skarta, kāpēc pierādījumi attiecās un kas to slēdza. Šo ierakstu lasīs vēlāka pārskatīšana.