🥇 Vulnerabilidades en las pilas TCP de Linux y FreeBSD que provocan denegaciones de servicio remotas

La empresa Netflix ha identificado varios críticos vulnerabilidades en las pilas TCP de Linux y FreeBSD, que permiten iniciar remotamente un colapso del núcleo o provocar un consumo excesivo de recursos al procesar paquetes TCP especialmente diseñados (packet-of-death). Los problemas son causados por errores en los controladores del tamaño máximo de bloque de datos en el paquete TCP (MSS, Maximum Segment Size) y en el mecanismo de reconocimiento selectivo de conexiones (SACK, TCP Selective Acknowledgement).

CVE-2019-11477 (SACK Panic) — el problema ocurre en núcleos de Linux a partir de 2.6.29 y permite provocar un pánico en el núcleo enviando una serie de paquetes SACK debido a un desbordamiento entero en el controlador. Para llevar a cabo el ataque, solo es necesario establecer un valor MSS de 48 bytes para la conexión TCP (el límite inferior define el tamaño del segmento en 8 bytes) y enviar una secuencia de paquetes SACK organizados de manera específica.

Como medidas de protección alternativas, se puede desactivar el procesamiento de SACK (escribiendo 0 en /proc/sys/net/ipv4/tcp_sack) o bloquear las conexiones con un MSS bajo (funciona solo si se establece sysctl net.ipv4.tcp_mtu_probing en 0 y puede interrumpir el funcionamiento de algunas conexiones normales con un MSS bajo);

CVE-2019-11478 (SACK Slowness) — provoca la interrupción del funcionamiento del mecanismo SACK (cuando se utiliza un núcleo de Linux anterior a la versión 4.15) o un consumo excesivo de recursos. El problema se manifiesta al procesar paquetes SACK especialmente diseñados, que se pueden usar para fragmentar la cola de retransmisiones TCP. Las medidas de protección son similares a la vulnerabilidad anterior;

CVE-2019-5599 (SACK Slowness) — permite provocar la fragmentación del mapa de paquetes enviados al procesar una secuencia especial de SACK dentro de una única conexión TCP y provocar la ejecución de una operación intensiva en recursos de búsqueda en lista. El problema se presenta en FreeBSD 12 con el mecanismo de detección de pérdida de paquetes RACK. Como medida de precaución, se puede desactivar el módulo RACK;

CVE-2019-11479 — el atacante puede provocar en el núcleo de Linux la división de respuestas en varios segmentos TCP, cada uno de los cuales contiene solo 8 bytes de datos, lo que puede resultar en un aumento significativo del tráfico, un incremento de la carga en la CPU y saturación del canal de comunicación. Como método de protección alternativo, se recomienda bloquear las conexiones con un MSS bajo.

En el núcleo de Linux, los problemas se han corregido en las versiones 4.4.182, 4.9.182, 4.14.127, 4.19.52 y 5.1.11. La corrección para FreeBSD está disponible como parche. En las distribuciones, ya se han lanzado actualizaciones de paquetes con el núcleo para Debian, RHEL, SUSE/openSUSE. Corrección en proceso de preparación en Ubuntu, Fedora y Arch Linux.

Fuente: opennet.ru

Vulnerabilidades en las pilas TCP de Linux y FreeBSD que conducen a una denegación de servicio remoto.