🥇Sårbarheder i TCP-stakke på Linux og FreeBSD, der fører til fjernadgang til nedbrud

Netflix har afsløret flere kritiske af sårbarheder i TCP-stakke i Linux og FreeBSD, som muliggør fjerninitiering af kernefejl eller forårsager overforbrug af ressourcer ved behandling af specielt formaterede TCP-pakker (packet-of-death). Problemerne skyldes fejl i håndteringen af maksimal blokstørrelse i TCP-pakken (MSS, Maximum Segment Size) og mekanismen til selektiv bekræftelse af forbindelser (SACK, TCP Selective Acknowledgement).

CVE-2019-11477 (SACK Panic) — problemet opstår i Linux-kernene fra 2.6.29 og muliggør en kernefejl (panic) ved at sende en række SACK-pakker på grund af et heltals-overløb i håndteringen. For at udføre angrebet er det tilstrækkeligt at sætte værdien MSS for TCP-forbindelsen til 48 byte (den nederste grænse, der sætter segmentstørrelsen til 8 byte) og sende en sekvens af specielt sammensatte SACK-pakker.

Som en beskyttelsesomvej kan man deaktivere håndteringen af SACK (indtaste 0 i /proc/sys/net/ipv4/tcp_sack) eller blokere forbindelser med lav MSS (virker kun ved at sætte sysctl net.ipv4.tcp_mtu_probing til 0 og kan forstyrre nogle normale forbindelser med lav MSS);

CVE-2019-11478 (SACK Slowness) — fører til forstyrrelse af SACK-mekanismen (ved brug af Linux-kernen ældre end 4.15) eller overforbrug af ressourcer. Problemet manifesterer sig ved behandling af specielt formaterede SACK-pakker, der kan bruges til at fragmentere retransmissionskøen (TCP retransmission). Beskyttelsesomvejene ligner den forrige sårbarhed;

CVE-2019-5599 (SACK Slowness) — muliggør fragmentering af kortet af sendte pakker ved behandling af en særlig sekvens af SACK inden for en enkelt TCP-forbindelse og forårsager udførelsen af ressourcekrævende operationer med iteration af lister. Problemet opstår i FreeBSD 12 med mekanismen til tab af pakker RACK. Som en beskyttelsesomvej kan man deaktivere RACK-modulet;

CVE-2019-11479 — en angriber kan forårsage opdeling af svar i Linux-kernen i flere TCP-segmenter, hver med blot 8 byte data, hvilket kan føre til betydelig stigning i trafik, øget belastning på CPU og fordybning af kommunikationskanalen. Som beskyttelsesmetode anbefales det at blokere blokere forbindelser med lav MSS.

I Linux-kernen er problemerne løst i versionerne 4.4.182, 4.9.182, 4.14.127, 4.19.52 og 5.1.11. Rettelsen for FreeBSD er tilgængelig i form af et patch. I distributions er pakkeopdateringer med kernen allerede udgivet til Debian, RHEL, SUSE/openSUSE. Rettelse under forberedelse i Ubuntu, Fedora og Arch Linux.

Kilde: opennet.ru

Sårbarheder i TCP-stakke i Linux og FreeBSD, der fører til fjern-afbrydelse af tjenesten