ProHoster > Blog > warta internét > Kerentanan dina tumpukan Linux sareng FreeBSD TCP ngarah kana panolakan jauh tina jasa

Kerentanan dina tumpukan Linux sareng FreeBSD TCP ngarah kana panolakan jauh tina jasa

Perusahaan Netflix diungkabkeun sababaraha kritis vulnerabilities dina tumpukan TCP Linux jeung FreeBSD, nu ngidinan Anjeun pikeun jarak jauh initiate kacilakaan kernel atawa ngabalukarkeun konsumsi sumberdaya kaleuleuwihan nalika ngolah pakét TCP dirancang husus (packet-of-maot). Masalah disababkeun ku kasalahan dina pawang pikeun ukuran blok data maksimum dina pakét TCP (MSS, Ukuran ruas maksimum) jeung mékanisme pikeun pangakuan selektif tina sambungan (karung, TCP selektif Pangakuan).

  • CVE-2019-11477 (SACK Panic) - masalah anu muncul dina kernels Linux Ubuntu mimitian ti 2.6.29 sarta ngidinan Anjeun pikeun ngabalukarkeun panik kernel ku ngirim runtuyan pakét karung alatan hiji ngabahekeun integer di Handler nu. Pikeun nyerang, cukup pikeun nyetél nilai MSS pikeun sambungan TCP ka 48 bait (wates handap netepkeun ukuran ruas kana 8 bait) sareng ngirimkeun sekuen pakét SACK anu disusun dina cara anu tangtu.

    Salaku workarounds kaamanan, anjeun tiasa nganonaktipkeun processing SACK (tulis 0 ka /proc/sys/net/ipv4/tcp_sack) atawa pikeun meungpeuk sambungan kalawan MSS low (mung jalan mun sysctl net.ipv4.tcp_mtu_probing disetel ka 0 sarta bisa ngaganggu sababaraha sambungan normal kalawan MSS low);

  • CVE-2019-11478 (SACK Slowness) - ngabalukarkeun gangguan mékanisme SACK (lamun ngagunakeun kernel Linux Ubuntu ngora ti 4.15) atawa konsumsi sumberdaya kaleuleuwihan. Masalahna lumangsung nalika ngolah pakét SACK anu didamel khusus, anu tiasa dianggo pikeun ngabagi antrian retransmission (TCP retransmission). The workarounds kaamanan nu sarupa jeung kerentanan saméméhna;
  • CVE-2019-5599 (SACK Slowness) - ngidinan Anjeun pikeun ngabalukarkeun fragméntasi tina peta pakét dikirim nalika ngolah runtuyan karung husus dina sambungan TCP tunggal jeung ngabalukarkeun operasi daptar sumberdaya-intensif dipigawé. Masalahna muncul dina FreeBSD 12 sareng mékanisme deteksi leungitna pakét RACK. Salaku workaround a, anjeun tiasa nganonaktipkeun modul RACK;
  • CVE-2019-11479 - panyerang bisa ngabalukarkeun kernel Linux Ubuntu ngabagi réspon kana sababaraha bagéan TCP, nu masing-masing ngandung ukur 8 bait data, nu bisa ngakibatkeun kanaékan signifikan dina lalulintas, ngaronjat beban CPU jeung clogging saluran komunikasi. Disarankeun salaku workaround pikeun panyalindungan. pikeun meungpeuk sambungan kalawan MSS low.

    Dina kernel Linux, masalahna direngsekeun dina sékrési 4.4.182, 4.9.182, 4.14.127, 4.19.52, sareng 5.1.11. A fix pikeun FreeBSD sadia sakumaha patch. Dina distribusi, apdet pikeun bungkusan kernel parantos dileupaskeun pikeun Debian, RHEL, SUSE / openSUSE. Koreksi salila persiapan Ubuntu, Fedora и Arch Linux Ubuntu.

    sumber: opennet.ru

    • Tambahkeun komentar