Schwachstellen in den TCP-Stacks von Linux und FreeBSD, die zu einem Remote-Denial-of-Service führen können,
Das Unternehmen Netflix mehrere kritische in den TCP-Stacks von Linux und FreeBSD, die es ermöglichen, einen Kernel-Absturz aus der Ferne zu initiieren oder eine übermäßige Ressourcennutzung bei der Verarbeitung speziell gestalteter TCP-Pakete (packet-of-death) zu verursachen. Die Probleme Fehler in den Verarbeitern der maximalen Blockgrößen im TCP-Paket (MSS, Maximum Segment Size) und dem Mechanismus der selektiven Bestätigungen von Verbindungen (SACK, TCP Selective Acknowledgement).
(SACK Panic) — das Problem tritt in Linux-Kernen ab 2.6.29 auf und ermöglicht einen Kernel-Panik durch das Senden einer Serie von SACK-Paketen aufgrund eines Überlaufs in den Verarbeitern. Um den Angriff durchzuführen, genügt es, den MSS-Wert für die TCP-Verbindung auf 48 Byte zu setzen (untere Grenze, die die Segmentgröße auf 8 Byte festlegt) und eine bestimmte Sequenz von SACK-Paketen zu senden.
Als Abhilfe kann die Verarbeitung von SACK deaktiviert werden (setze 0 in /proc/sys/net/ipv4/tcp_sack) oder Verbindungen mit niedrigem MSS blockiert werden (funktioniert nur, wenn sysctl net.ipv4.tcp_mtu_probing auf 0 gesetzt ist und kann die Funktion einiger normaler Verbindungen mit niedrigem MSS beeinträchtigen);
(SACK Slowness) — führt zu einem Ausfall des SACK-Mechanismus (bei Verwendung eines Linux-Kerns älter als 4.15) oder zu übermäßiger Ressourcennutzung. Das Problem tritt bei der Verarbeitung speziell gestalteter SACK-Pakete auf, die zur Fragmentierung der Wiederholungswarteschlange (TCP-Retransmission) verwendet werden können. Die Abhilfemaßnahmen sind ähnlich wie bei der vorherigen Schwachstelle;
(SACK Slowness) — ermöglicht die Fragmentierung der Karte gesendeter Pakete beim Verarbeiten einer speziellen SACK-Sequenz innerhalb einer TCP-Verbindung und kann zu einer ressourcenintensiven Auflistungsoperation führen. Das Problem tritt in FreeBSD 12 mit dem RACK-Paketverlusterkennungsmechanismus auf. Als Abhilfe kann das RACK-Modul deaktiviert werden;
— ein Angreifer kann im Linux-Kernel die Antworten in mehrere TCP-Segmente aufteilen, von denen jedes nur 8 Byte Daten enthält, was zu einem erheblichen Anstieg des Datenverkehrs, einer erhöhten CPU-Belastung und zur Verstopfung des Kommunikationskanals führen kann. Als Abhilfemaßnahme wird empfohlen, Verbindungen mit niedrigem MSS.
Die Probleme im Linux-Kernel wurden in den Versionen 4.4.182, 4.9.182, 4.14.127, 4.19.52 und 5.1.11 behoben. Ein Patch für FreeBSD ist verfügbar als . In den Distributiven wurden bereits Updates für Pakete mit dem Kernel veröffentlicht , , . Die Korrekturen werden derzeit vorbereitet für , und .
