🥇Уязвимости в TCP-стеках Linux и FreeBSD, приводящие к удалённому отказу в обслуживании

ក្រុមហ៊ុន Netflix បានបង្ហាញ រិះគន់ជាច្រើន។ ភាពងាយរងគ្រោះ в TCP-стеках Linux и FreeBSD, которые позволяют удалённо инициировать крах ядра или вызвать чрезмерное потребление ресурсов при обработке специально оформленных TCP-пакетов (packet-of-death). Проблемы បង្កដោយ កំហុសនៅក្នុងឧបករណ៍ដោះស្រាយសម្រាប់ទំហំប្លុកទិន្នន័យអតិបរមានៅក្នុងកញ្ចប់ TCP (MSS ទំហំផ្នែកអតិបរមា) និងយន្តការសម្រាប់ការទទួលស្គាល់ការតភ្ជាប់ដែលបានជ្រើសរើស (SACK, TCP Selective Acknowledgment)។

CVE-2019-11477 (SACK Panic) — проблема проявляется в ядрах Linux начиная с 2.6.29 и позволяет вызвать крах (panic) ядра через отправку серии SACK-пакетов из-за возникновения целочисленного переполнения в обработчике. Для атаки достаточно выставить для TCP-соедиения значение MSS в 48 байт (нижний лимит, устанавливает размер сегмента в 8 байт) и отправить последовательность определённым образом скомпонованных SACK-пакетов.

ក្នុងនាមជាដំណោះស្រាយសុវត្ថិភាព អ្នកអាចបិទដំណើរការ SACK (សរសេរ 0 ទៅ /proc/sys/net/ipv4/tcp_sack) ឬ រារាំង ការតភ្ជាប់ជាមួយ MSS ទាប (ដំណើរការតែនៅពេលដែល sysctl net.ipv4.tcp_mtu_probing ត្រូវបានកំណត់ទៅ 0 ហើយអាចរំខានដល់ការភ្ជាប់ធម្មតាមួយចំនួនជាមួយនឹង MSS ទាប);

CVE-2019-11478 (SACK Slowness) — приводит к нарушению работы механизма SACK (при использовании ядра Linux младше 4.15) или избыточному потреблению ресурсов. Проблема проявляется при обработке специально оформленных SACK-пакетов, которые можно использовать для фрагментирования очереди повторной передачи (TCP retransmission). Обходные пути защиты аналогичны предыдущей уязвимости;

CVE-2019-5599 (SACK Slowness) - អនុញ្ញាតឱ្យអ្នកធ្វើឱ្យមានការបែកខ្ញែកនៃផែនទីនៃកញ្ចប់ព័ត៌មានដែលបានផ្ញើនៅពេលដំណើរការលំដាប់ SACK ពិសេសនៅក្នុងការតភ្ជាប់ TCP តែមួយ ហើយបណ្តាលឱ្យប្រតិបត្តិការរាប់បញ្ចូលបញ្ជីដែលពឹងផ្អែកលើធនធានត្រូវបានអនុវត្ត។ បញ្ហាលេចឡើងនៅក្នុង FreeBSD 12 ជាមួយនឹងយន្តការរកឃើញការបាត់បង់កញ្ចប់ព័ត៌មាន RACK ។ ជាដំណោះស្រាយមួយ អ្នកអាចបិទម៉ូឌុល RACK ។

CVE-2019-11479 — атакующий может вызвать в ядре Linux разделение ответов на несколько TCP-сегментов, каждый из которых включает только 8 байт данных, что может привести к существенному повышению трафика, увеличению нагрузки на CPU и забиванию канала связи. В качестве обходного метода защиты рекомендовано រារាំង ការតភ្ជាប់ជាមួយ MSS ទាប។

នៅក្នុងស្នូល Linux проблемы устранены в выпусках 4.4.182, 4.9.182, 4.14.127, 4.19.52 и 5.1.11. Исправление для FreeBSD доступно в виде បំណះ. នៅក្នុងការចែកចាយ ការអាប់ដេតចំពោះកញ្ចប់ខឺណែលត្រូវបានចេញផ្សាយរួចហើយសម្រាប់ Debian, អរ, SUSE/openSUSE. ការកែតម្រូវអំឡុងពេលរៀបចំ Ubuntu, Fedora и សំខាន់បំផុត Linux.

ប្រភព: opennet.ru

ចំណុចខ្សោយនៅក្នុង TCP stacks Linux និង FreeBSD ដែលនាំឱ្យមានការបដិសេធសេវាកម្មពីចម្ងាយ