Који VPN процес погађа то откриће рањивости?

Резултат скенера наводи адресу, порт и нешто о чему се тамо преговарало. Не наводи процес иза тог сокета, а на VPN домаћину више процеса може делити машину док је само један од њих тунел. Читање верзије из помоћног алата или проналажење библиотечке датотеке на диску додаје доказ о домаћину, не о слушаоцу. Откриће постаје применљиво тек када се веже за једну покренуту компоненту и затим усклади са обимом који савет заиста наводи.

Редослед је важан: прво компонента, друго савет, треће отклањање.

Извештај наводи порт, а не програм

Почните од крајње тачке која је заиста процењена. Провера против административног порта HTTPS измерила је веб услугу, њен TLS стек и сваки посредник испред ње; није научила ништа о OpenVPN или WireGuard слушаоцу на другом порту. Обрнути посредници и агенти за управљање то погоршавају, јер сертификат и банер могу припадати предњем делу док рањива библиотека стоји иза њега у позадинском процесу.

Забележите одредиште, пренос, порт и назив услуге уз резултат како би обим путовао са открићем.

Шта је заправо покренута верзија

На домаћину опште намене инсталирани пакет и учитана библиотека су одвојена питања. База пакета може навести закрпљену верзију док дуготрајни демон још држи стари заједнички објекат у меморији, а уграђена слика уређаја може носити сопствене библиотеке које ниједан менаџер пакета не пријављује. Питајте менаџера услуга шта се извршава, затим прегледајте процес и његове везе.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Време почетка на списку процеса је детаљ који људи прескачу. Демон покренут пре последњег ажурирања пакета још извршава верзију коју је учитао при подизању, и то је управо случај у којем инвентар каже поправљено, а сокет каже супротно.

Усклађивање верзије са обимом савета

Савети описују производе, верзије и понекад потребне услове, а та три поља се не поклапају увек са верзијом пакета. OpenVPN-ов савет о Heartbleed-у из априла 2014. користан је историјски пример јер одваја погођена издања Access Server-а од веб услуга и VPN демона, који су имали различиту изложеност. Поука је прочитати коју компоненту текст покрива, уместо усклађивања речи OpenSSL по узорку.

Тај савет је и застарео. Његови поправљени бројеви издања данас нису инсталациони савет, а недостатак поправљен 2014. године не говори ништа о каснијим проблемима у грани коју данас покрећете.

Решавање несугласице, па затварање изложености

Када се инвентар и процена разилазе, проверите описују ли оба исту крајњу тачку и исто окружење извршавања: другу адресу, предњи посредник, другу услугу, стари процес још везан за порт или уграђену библиотеку коју менаџер пакета никада није видео. Решите то на граници пре него што препишете извештај.

Примените подржани исправак, поново покрените погођену услугу и потврдите да нова верзија сада ради. Закрпљена датотека на диску док стари процес још послужује саобраћај није отклањање.

Затим се позабавите оним што је компонента могла држати током периода изложености. Крпање и замена акредитива одговарају на различита питања, а сертификат сачуван близу погођеног домаћина није сам по себи списак онога што је процурело. Пратите поступак власника инцидента за опозив, уклањање сесија и ажурирања клијената, и забележите која је компонента била погођена, зашто су докази били применљиви и шта ју је затворило. Тај запис ће читати каснији преглед.