🥇Zranitelnosti v TCP zásobnících Linux a FreeBSD, vedoucí k vzdálenému odmítnutí služby

Společnost Netflix odhalila několik kritických zranitelností v TCP stacích Linuxu a FreeBSD, které umožňují vzdáleně iniciovat pád jádra nebo vyvolat nadměrnou spotřebu prostředků při zpracování speciálně vytvořených TCP paketů (packet-of-death). Problémy jsou způsobeny chybami v obsluhách maximální velikosti bloku dat v TCP paketu (MSS, Maximum Segment Size) a mechanismu volitelného potvrzení spojení (SACK, TCP Selective Acknowledgement).

CVE-2019-11477 (SACK Panic) — problém se projevuje v jádrech Linuxu od verze 2.6.29 a umožňuje vyvolat pád (panic) jádra prostřednictvím odeslání série SACK paketů kvůli vzniku celého čísla překročení v obsluze. Pro útok stačí nastavit pro TCP spojení hodnotu MSS na 48 bajtů (dolní limit nastavuje velikost segmentu na 8 bajtů) a odeslat sekvenci specificky uspořádaných SACK paketů.

Jako obcházení ochrany lze vypnout zpracování SACK (napsat 0 do /proc/sys/net/ipv4/tcp_sack) nebo blokovat spojení s nízkým MSS (funguje pouze při nastavení sysctl net.ipv4.tcp_mtu_probing na 0 a může narušit fungování některých normálních spojení s nízkým MSS);

CVE-2019-11478 (SACK Slowness) — vede k porušení fungování mechanismu SACK (při použití jádra Linux mladšího než 4.15) nebo k nadměrné spotřebě prostředků. Problém se projevuje při zpracování speciálně vytvořených SACK paketů, které lze použít k fragmentaci fronty opětovného odeslání (TCP retransmission). Obcházení ochrany je obdobné jako u předchozí zranitelnosti;

CVE-2019-5599 (SACK Slowness) — umožňuje vyvolat fragmentaci mapy odeslaných paketů při zpracování speciální sekvence SACK v rámci jednoho TCP spojení a vyvolat provedení náročné operace procházení seznamu. Problém se projevuje ve FreeBSD 12 se mechanismem určování ztráty paketů RACK. Jako obcházení opatření lze vypnout modul RACK;

CVE-2019-11479 — útočník může v jádře Linuxu způsobit rozdělení odpovědí na několik TCP segmentů, z nichž každý obsahuje pouze 8 bajtů dat, což může vést k významnému zvýšení provozu, zvýšení zátěže CPU a zaspamování komunikačního kanálu. Jako obcházející metoda ochrany se doporučuje blokovat spojení s nízkým MSS.

V jádře Linuxu byly problémy vyřešeny ve verzích 4.4.182, 4.9.182, 4.14.127, 4.19.52 a 5.1.11. Oprava pro FreeBSD je dostupná ve formě patche. V distribucích byly vydány aktualizace balíčků s jádrem pro Debian, RHEL, SUSE/openSUSE. Oprava je v procesu přípravy v Ubuntu, Fedora a Arch Linux.

Zdroj: opennet.ru

Zranitelnosti v TCP zásobnících Linuxu a FreeBSD, které vedou k vzdálenému odmítnutí služby