🥇Ranljivosti v TCP-stekih Linux in FreeBSD, ki vodijo do oddaljene motnje storitev

Podjetje Netflix je odkrilo nekaj kritičnih ranjivosti v TCP skladih Linux in FreeBSD, ki omogočajo oddaljeno sprožitev zrušitve jedra ali povzročitev prekomerne porabe virov pri obravnavi posebno oblikovanih TCP paketov (packet-of-death). Težave so povzročene z napakami v obvladovalnikih največje velikosti podatkovnega bloka v TCP paketu (MSS, največja velikost segmenta) in mehanizma selektivnega potrjevanja povezav (SACK, TCP Selective Acknowledgement).

CVE-2019-11477 (SACK Panic) — težava se pojavi v jeder Linux od 2.6.29 naprej in omogoča sprožitev zrušitve (panic) jedra preko pošiljanja serije SACK paketov zaradi nastanka celotnega prenasičenja v obvladovalniku. Za napad je dovolj, da se za TCP povezavo nastavi vrednost MSS na 48 bajtov (spodnja meja, ki določa velikost segmenta na 8 bajtov) in pošlje zaporedje posebej oblikovanih SACK paketov.

Kot obvodne zaščitne ukrepe je mogoče onemogočiti obravnavo SACK (zapisati 0 v /proc/sys/net/ipv4/tcp_sack) ali blokirati povezave z nizkim MSS (deluje le, če je sysctl net.ipv4.tcp_mtu_probing nastavljen na 0 in lahko moti delovanje nekaterih normalnih povezav z nizkim MSS);

CVE-2019-11478 (SACK Slowness) — povzroča motnje v delovanju mehanizma SACK (pri uporabi jedra Linux starejšega od 4.15) ali prekomerno porabo virov. Težava se pojavi pri obravnavi posebej oblikovanih SACK paketov, ki se lahko uporabijo za fragmentacijo vrste ponovnih prenosov (TCP retransmission). Obvodni ukrepi zaščite so podobni prejšnji ranljivosti;

CVE-2019-5599 (SACK Slowness) — omogoča fragmentacijo seznama poslanih paketov pri obravnavi posebne sekvence SACK v okviru ene TCP povezave in sproži izvedbo virov zahtevajoče operacije iskanja seznama. Težava se проявlja v FreeBSD 12 z mehanizmom ugotavljanja izgube paketov RACK. Kot obvodni ukrep lahko onemogočite modul RACK;

CVE-2019-11479 — napadalec lahko v jedru Linux povzroči delitev odgovorov na več TCP segmentov, od katerih vsak vsebuje le 8 bajtov podatkov, kar lahko privede do znatnega povečanja prometa, večje obremenitve CPU in zasičenja povezave. Kot obvodni zaščitni ukrep priporočamo blokirati povezave z nizkim MSS.

V jedru Linux so težave odpravljene v izdajah 4.4.182, 4.9.182, 4.14.127, 4.19.52 in 5.1.11. Popravilo za FreeBSD je na voljo v obliki popravka. V distribucijah so že izdana posodobitev paketov s jedrom za Debian, RHEL, SUSE/openSUSE. Popravek se pripravlja v Ubuntu, Fedora in Arch Linux.

Izvor: opennet.ru

Varnostne pomanjkljivosti v TCP-skih skladih Linux in FreeBSD, ki vodijo do oddaljenega onemogočanja