🥇Sebezhetőségeket talált a Linux és FreeBSD TCP-stackjeiben, amelyek távoli szolgáltatásmegtagadáshoz vezethetnek

Netflix cég feltárta több kritikus sebezhetőséget Linux és FreeBSD TCP-stackjeiben, amelyek lehetővé teszik a mag összeomlását vagy a források túlzott felhasználását speciálisan formázott TCP-csomagok (packet-of-death) feldolgozása során. A problémák a következőkből adódnak a TCP-csomagok maximális blokkméretének (MSS, Maximum Segment Size) és a kapcsolatok szelektív elismerésének (SACK, TCP Selective Acknowledgement) feldolgozóiban lévő hibákból.

CVE-2019-11477 (SACK Panic) — a probléma a Linux kernel 2.6.29-től kezdődően jelentkezik, és a mag összeomlását (panic) okozza egy SACK-csomagok sorozatának küldésével, amely egész szám túlcsordulást okoz a feldolgozóban. A támadáshoz elegendő, ha a TCP-kapcsolat MSS értékét 48 byte-ra állítják be (alsó határ, amely a szegmens méretét 8 byte-ra korlátozza), és egy meghatározott módon összeállított SACK-csomagsorozatot küldenek.

A védekezés lehetséges módjaként le lehet tiltani a SACK feldolgozást (0-t írva a /proc/sys/net/ipv4/tcp_sack fájlba) vagy blokkolni a alacsony MSS-sel rendelkező kapcsolatokat (ez csak akkor működik, ha a sysctl net.ipv4.tcp_mtu_probing értékét 0-ra állítják, és esetleg megzavarhat normál kapcsolatokat alacsony MSS-sel);

CVE-2019-11478 (SACK Slowness) — zavarokat okoz a SACK mechanizmus működésében (ha a Linux kernel 4.15 alatti verzióját használják) vagy a források túlzott felhasználását. A probléma speciálisan formázott SACK-csomagok feldolgozása során jelentkezik, amelyek felhasználhatók a TCP retransmission sorának fragmentálására. A védekezés módjai hasonlóak az előző sebezhetőséghez;

CVE-2019-5599 (SACK Slowness) — lehetővé teszi a küldött csomagok térképének fragmentálódását egy speciális SACK sorozat feldolgozása során egy TCP-kapcsolaton belül, és erőforrás-igényes lista átkutatási műveletet idézhet elő. A probléma a FreeBSD 12-kel jelentkezik a RACK csomagvesztés-meghatározó mechanizmus mellett. Védekezésként javasolt a RACK modul letiltása;

CVE-2019-11479 — a támadó a Linux kernelben válaszok több TCP-szegmensekre történő bontását idézheti elő, amely mindegyike csak 8 byte adatot tartalmaz, ami jelentős forgalomnövekedéshez, CPU terhelésének növekedéséhez és a kommunikációs csatorna elzáródásához vezethet. Védekezési módként javasolt blokkolni alacsony MSS-sel rendelkező kapcsolatokkal.

A Linux kernelben a problémák orvoslása a 4.4.182, 4.9.182, 4.14.127, 4.19.52 és 5.1.11 verziókban történt. A FreeBSD javítása elérhető patch formájában. A disztribúciók csomagfrissítései már kiadták a kernelhez Debian, RHEL, SUSE/openSUSE. A javítás előkészítése folyamatban van Ubuntu, Fedora és Arch Linux.

Forrás: opennet.ru

Linux és FreeBSD TCP-stack sebezhetőségek, amelyek távoli szolgáltatásmegszakításhoz vezetnek