Телеграмм чат группы spblug

между мт1 и мт2 сеть 10.10.10.0/24, лан компы получают 192.168.50.х

00:21пожаловаться #1

https://blog.qualys.com/vulnerabilities-research/2021/01/26/cve-2021-3156-heap-based-buffer-overflow-in-sudo-baron-samedit

Андрей Мавлянов

Qualys Security Blog

CVE-2021-3156: Heap-Based Buffer Overflow in Sudo (Baron Samedit) | Qualys Security Blog

Update Feb 3, 2021: It has been reported that macOS, AIX, and Solaris are also vulnerable to CVE-2021-3156, and that others may also still be vulnerable. Qualys has not independently verified the…

готоф для дексктопу!

https://blog.qualys.com/vulnerabilities-research/2021/01/26/cve-2021-3156-heap-based-buffer-overflow-in-sudo-baron-samedit

00:22пожаловаться #2

Vadim "Oxyd&quo... in SPbLUG chat

Андрей Мавлянов

Qualys Security Blog

CVE-2021-3156: Heap-Based Buffer Overflow in Sudo (Baron Samedit) | Qualys Security Blog

Update Feb 3, 2021: It has been reported that macOS, AIX, and Solaris are also vulnerable to CVE-2021-3156, and that others may also still be vulnerable. Qualys has not independently verified the…

baskerville kot

надо с мт1 пинговать компы в лан?

да

00:28пожаловаться #4

baskerville kot

между мт1 и мт2 сеть 10.10.10.0/24, лан компы получают 192.168.50.х

10.10.10.0/24 - wg
192.168.88.0/24 - dhcpd (mt2)

00:28пожаловаться #5

а, точно, 88 же

00:28пожаловаться #6

mt1 - wireguard server, centos, 10.10.10.1
mt2 - wireguard client, mikrotik, 10.10.10.2

00:29пожаловаться #7

у компов в лан дефроут стоит 88.1 наверн

00:29пожаловаться #8

88.254, да

00:29пожаловаться #9

то исть надоть чтоп на мт1 был route add 192.168.88.0/24 via 10.10.10. который на мт2

00:30пожаловаться #10

ды

00:30пожаловаться #11

а на мт2 был выключен нат до 10.10.10. который на мт1

00:31пожаловаться #12

 3    chain=srcnat action=masquerade src-address=10.10.10.1

00:32пожаловаться #13

00:33пожаловаться #14

подозреваю что последнее правило кривое, но это от безысходности 😃

00:34пожаловаться #15

закеж всю /ip route print и /ip firewall export

00:35пожаловаться #16

[admin@MikroTik] > /ip/route/print 
Flags: D - DYNAMIC; A - ACTIVE; c - CONNECT, d - DHCP, y - COPY
Columns: DST-ADDRESS, GATEWAY, DISTANCE
       DST-ADDRESS      GATEWAY       D
  DAd  0.0.0.0/0        192.168.50.1  1
  DAc  10.10.10.0/24    wg0           0
  DAc  192.168.50.0/24  ether1        0
  DAc  192.168.88.0/24  bridgeLocal   0

[admin@MikroTik] > /ip/firewall/export 
# jan/27/2021 00:36:18 by RouterOS 7.1beta3
# software id = G6EI-IINF
#
# model = RB750Gr3
# serial number = CC210CC6FF74
/ip firewall address-list
add address=10.10.10.1 comment=centos-server list=host_linux
/ip firewall filter
add action=accept chain=input dst-port=80 protocol=tcp
add action=accept chain=input dst-port=8080 in-interface-list=WAN protocol=tcp
add action=accept chain=input in-interface=wg0
add action=accept chain=input dst-port=5555 in-interface-list=WAN protocol=udp
add action=accept chain=input dst-address=192.168.88.0/24 src-address-list=host_linux
/ip firewall mangle
add action=change-mss chain=forward new-mss=clamp-to-pmtu out-interface=wg0 passthrough=yes protocol=tcp tcp-flags=syn
/ip firewall nat
add action=masquerade chain=srcnat out-interface-list=WAN
add action=masquerade chain=srcnat out-interface=wg0
add action=dst-nat chain=dstnat comment="Forward 8080 to GOIP Gateway" dst-port=8080 in-interface-list=WAN protocol=tcp to-addresses=192.168.88.253 to-ports=80
add action=masquerade chain=srcnat src-address=10.10.10.1

00:36пожаловаться #17

еслиф у тебя на мт1 есть роут на 192.168.88.0/24 то "add action=masquerade chain=srcnat out-interface=wg0" это не нужно

00:38пожаловаться #18

и ето тоже

add action=masquerade chain=srcnat src-address=10.10.10.1

00:39пожаловаться #19

  ping 192.168.88.252                             
PING 192.168.88.252 (192.168.88.252) 56(84) bytes of data.
From 10.10.10.1 icmp_seq=1 Destination Host Unreachable
ping: sendmsg: Required key not available
From 10.10.10.1 icmp_seq=2 Destination Host Unreachable
ping: sendmsg: Required key not available
^C
--- 192.168.88.252 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 1043ms

 
 ip ro ls 
default via 95.217.105.65 dev eno1 
10.10.10.0/24 dev wg0 proto kernel scope link src 10.10.10.1 
XX.XX.XXX.XXX dev eno1 proto kernel scope link src XX.XX.XXX.XXX
169.254.0.0/16 dev eno1 scope link metric 1002 
192.168.88.0/24 via 10.10.10.2 dev wg0