Koji VPN proces pogađa to otkriće ranjivosti?

Rezultat skenera navodi adresu, port i nešto o čemu se tamo pregovaralo. Ne navodi proces iza tog soketa, a na VPN domaćinu više procesa može deliti mašinu dok je samo jedan od njih tunel. Čitanje verzije iz pomoćnog alata ili pronalaženje bibliotečke datoteke na disku dodaje dokaz o domaćinu, ne o slušaocu. Otkriće postaje primenljivo tek kada se veže za jednu pokrenutu komponentu i zatim uskladi s obimom koji savet zaista navodi.

Redosled je važan: prvo komponenta, drugo savet, treće otklanjanje.

Izveštaj navodi port, a ne program

Počnite od krajnje tačke koja je zaista procenjena. Provera protiv administrativnog porta HTTPS izmerila je veb uslugu, njen TLS stek i svaki posrednik ispred nje; nije naučila ništa o OpenVPN ili WireGuard slušaocu na drugom portu. Obrnuti posrednici i agenti za upravljanje to pogoršavaju, jer sertifikat i baner mogu pripadati prednjem delu dok ranjiva biblioteka stoji iza njega u pozadinskom procesu.

Zabeležite odredište, prenos, port i naziv usluge uz rezultat kako bi obim putovao s otkrićem.

Šta je zapravo pokrenuta verzija

Na domaćinu opšte namene instalirani paket i učitana biblioteka su odvojena pitanja. Baza paketa može navesti zakrpljenu verziju dok dugotrajni demon još drži stari zajednički objekat u memoriji, a ugrađena slika uređaja može nositi sopstvene biblioteke koje nijedan menadžer paketa ne prijavljuje. Pitajte menadžera usluga šta se izvršava, zatim pregledajte proces i njegove veze.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Vreme početka na spisku procesa je detalj koji ljudi preskaču. Demon pokrenut pre poslednjeg ažuriranja paketa još izvršava verziju koju je učitao pri podizanju, i to je upravo slučaj u kojem inventar kaže popravljeno, a soket kaže suprotno.

Usklađivanje verzije s obimom saveta

Saveti opisuju proizvode, verzije i ponekad potrebne uslove, a ta tri polja se ne poklapaju uvek s verzijom paketa. OpenVPN-ov savet o Heartbleed-u iz aprila 2014. koristan je istorijski primer jer odvaja pogođena izdanja Access Server-a od veb usluga i VPN demona, koji su imali različitu izloženost. Pouka je pročitati koju komponentu tekst pokriva, umesto usklađivanja reči OpenSSL po uzorku.

Taj savet je i zastareo. Njegovi popravljeni brojevi izdanja danas nisu instalacioni savet, a nedostatak popravljen 2014. godine ne govori ništa o kasnijim problemima u grani koju danas pokrećete.

Rešavanje nesuglasice, pa zatvaranje izloženosti

Kada se inventar i procena razilaze, proverite opisuju li oba istu krajnju tačku i isto okruženje izvršavanja: drugu adresu, prednji posrednik, drugu uslugu, stari proces još vezan za port ili ugrađenu biblioteku koju menadžer paketa nikada nije video. Rešite to na granici pre nego što prepišete izveštaj.

Primenite podržani ispravak, ponovo pokrenite pogođenu uslugu i potvrdite da nova verzija sada radi. Zakrpljena datoteka na disku dok stari proces još poslužuje saobraćaj nije otklanjanje.

Zatim se pozabavite onim što je komponenta mogla držati tokom perioda izloženosti. Krpljenje i zamena akreditiva odgovaraju na različita pitanja, a sertifikat sačuvan blizu pogođenog domaćina nije sam po sebi spisak onoga što je procurilo. Pratite postupak vlasnika incidenta za opoziv, uklanjanje sesija i ažuriranja klijenata, i zabeležite koja je komponenta bila pogođena, zašto su dokazi bili primenljivi i šta ju je zatvorilo. Taj zapis će čitati kasniji pregled.