🥇Уязвимости в TCP стековете на Linux и FreeBSD, водещи до отдалечен отказ в обслужването

Компания Netflix установи няколко критични уязвимости в TCP стековете на Linux и FreeBSD, които позволяват отдалечено иницииране на срив на ядрото или предизвикване на прекомерно потребление на ресурси при обработка на специално оформени TCP пакети (packet-of-death). Проблемите са причинени от грешки в обработчиците на максималния размер на блока данни в TCP пакета (MSS, Maximum segment size) и механизма за селективно потвърждение на връзките (SACK, TCP Selective Acknowledgement).

CVE-2019-11477 (SACK Panic) — проблемът се проявява в ядрото на Linux от версия 2.6.29 нататък и позволява да се предизвика срив (panic) на ядрото чрез изпращане на серия SACK пакети поради възникване на целочислено овърфлоу в обработвача. За атака е достатъчно да се зададе за TCP връзка стойност на MSS от 48 байта (долна граница, задава размер на сегмента 8 байта) и да се изпрати последователност от определено компонирани SACK пакети.

Като обходен път за защита може да се изключи обработката на SACK (записвайки 0 в /proc/sys/net/ipv4/tcp_sack) или да се блокират взаимодействия с ниско MSS (работи само когато се зададе sysctl net.ipv4.tcp_mtu_probing на 0 и може да наруши действието на някои нормални взаимодействия с ниско MSS);

CVE-2019-11478 (SACK Slowness) — води до нарушаване на механизма SACK (при използване на ядрото на Linux по-малко от 4.15) или до прекомерно потребление на ресурси. Проблемът се проявява при обработка на специално оформени SACK пакети, които могат да се използват за фрагментиране на опашката за повторно предаване (TCP retransmission). Обходните пътища за защита са аналогични на предходната уязвимост;

CVE-2019-5599 (SACK Slowness) — позволява предизвикване на фрагментация на картата на изпратените пакети при обработка на специална последователност SACK в рамките на едно TCP взаимодействие и предизвикване на изпълнението на ресурсоемка операция по перебор на списък. Проблемът се проявява във FreeBSD 12 с механизма за определяне на загуба на пакети RACK. Като обходна мярка може да се изключи модулът RACK;

CVE-2019-11479 — атакуващият може да предизвика в ядрото на Linux разделяне на отговорите на няколко TCP сегмента, всеки от които включва само 8 байта данни, което може да доведе до значително увеличаване на трафика, повишаване на натоварването на CPU и задръстване на канала за връзка. Като обходен метод за защита се препоръчва да се блокират взаимодействия с ниско MSS.

В ядрото на Linux проблемите са отстранени в версиите 4.4.182, 4.9.182, 4.14.127, 4.19.52 и 5.1.11. Поправка за FreeBSD е достъпна като пач. В дистрибуциите обновления на пакети с ядро вече е издаден за Debian, RHEL, SUSE/openSUSE. Поправката е в процес на подготовка в Ubuntu, Fedora и Arch Linux.

Източник: opennet.ru