預警 | Linux 爆 TCP “SACK Panic” 漏洞!N 家中招:AWS、阿里云、騰訊云、華為云、RedHat等

為促進社區發展,運維派尋求戰略合作、贊助、投資,請聯系微信:helloywp

Netflix 發現發現Linux和FreeBSD內核TCP堆棧中存在多個“嚴重”全漏洞,可導致服務器宕機。

生產環境大量使用linux計算機的組織,需要緊急修補新多個補丁,以便阻止遠程攻擊導致系統崩毀。有三個缺陷影響Linux內核處理TCP網絡的方式,一個影響FreeBSD TCP堆棧。

CVE-2019-11477 是最嚴重的四個缺陷,被稱作 “SACK panic”,即Linux內核的TCP選擇性確認(TCP SelectiveAcknowledgement 簡稱SACK)功能。

遠程攻擊者可以利用這個漏洞來觸發可能導致計算機崩潰的內核錯誤(Kernel panic),進而引起拒絕服務。波及Linux內核版本2.6.29以及高于2.6.29以上版本。

Netflix?把BUG的細節建議發布在Github上,并將它們定性為極其嚴重漏洞。紅帽(RedHat)自己評定SACK Panic為嚴重,而剩余的錯誤被認為是“中等”。

但是,如果遠程攻擊者能攻陷托管在亞馬遜云(AWS)基礎設施上的流媒體巨人的Linux主機,網飛對這些BUG的嚴重評級是很中肯的。

(AWS官網)

在這方面,AWS已發布三個修補這些Linux BUG的更新(),AWS Elastic Beanstalk,AmazonLinux,基于Linux的EC2實例,Amazon Linux WorkSpaces和Amazon的Kubernetes容器服務將受到這些BUG的影響。

一些服務,如Amazon ElasticCache如果使用默認配置將不會中招,但如果用戶更改了默認配置,將會受到影響。

其他幾個BUG,包含CVE-2019011478又名SACK Slowness,波及低于4.15版本的linux內核的系統; FreeBSD12受到另一個SACK Slowness漏洞CVE-2019-5599影響;?CVE-2019-11479會導致系統過多資源消耗。

這三個linux缺陷和內核如何處理具有低值的最大報文段長度(MSS)的TCP SACK數據包相關,并受其影響。 RedHat在其公告中指出,影響僅限于“此時”的拒絕服務,并且不能用于泄露信息的提權。

SACK 是一種用于改善發送者和接受者之間的TCP丟包而引起的網絡低效問題的機制。

起草SACK的IETF標準的工程師們解釋說:“當一個數據窗口丟失多個數據包時,TCP可能會遇到性能問題。由于累積確認可用的信息受限,TCP發送方只能一個周期中只能知道一個丟包。主動發送可以選擇提前重新發送數據包,但是這些重新發送的段可能已經被成功接收。

“選擇性確認(SACK)機制與選擇性重復重傳策略相結合,可以幫助克服這些限制。接收TCP將SACK數據包發送回發送方,通知發送方已收到的數據。發送方只用重發丟失的數據段“。

據RedHat稱,由于Linux TCP實現中使用的數據結構稱為套接字緩沖區(SKB),該數據結構能夠容最多17個分組數據片段,可能引發系統崩潰。

一旦SKB達到上限,結果可能導致內核錯誤(Kernel panic)事件。另外一個因素是最大報文段長度(MSS),或是指定最大承載數據的數量最大尺寸參數它指定重構TCP段中包含的數據總量。或者是最大承載數據數量的最大尺寸參數,此參數用于用于指定重構的TCP段中包含的數據總量。

RedHat解釋道,“遠程用戶可以通過將TCP連接的最大報文段長度(MSS)設置為48字節的最低限制并發送一系列特制的SACK數據包來觸發此問題。最低MSS每段只留下8個字節的數據,因此可以增加發送所有數據所需的TCP段數。“

修復公告:

到目前為止?Red Hat,Amazon Web Services,SUSE,grsecurity,阿里云,騰訊云,華為云等官方發布公告。(修復方法,詳細閱讀各商家發布公告)

(阿里云)

2019年6月18日,阿里云應急響應中心監控到國外某安全研究組織披露Linux 內核TCP SACK機制存在缺陷,可導致遠程拒絕服務。CVE編號為CVE-2019-11477、CVE-2019-11478和CVE-2019-11479。

漏洞描述

Linux 內核2.6.29及之后版本在處理TCP SACK機制時存在缺陷,導致整數溢出漏洞,攻擊者可以構造特定的SACK包,遠程觸發Linux服務器內核模塊溢出漏洞,實現遠程拒絕服務攻擊。

漏洞評級

CVE-2019-11477?高危

CVE-2019-11478?中危

CVE-2019-11479?中危

(騰訊云)

(華為云)

Red Hat:

https://access.redhat.com/security/vulnerabilities/tcpsack

AWS:

https://aws.amazon.com/cn/security/security-bulletins/AWS-2019-005/?nc1=h_ls

SUSE:

https://www.suse.com/de-de/support/kb/doc/?id=7023928

grsecurity:

https://seclists.org/oss-sec/2019/q2/182

阿里云:

https://help.aliyun.com/noticelist/articleid/1060012493.html?spm=a2c4g.789004748.n2.7.15386141GM8Eyl

騰訊云:

https://cloud.tencent.com/announce/detail/622

華為云:

https://www.huaweicloud.com/notice/2018/20190619122553544.html

參考鏈接:

https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md
https://www.zdnet.com/google-amp/article/netflix-to-linux-users-patch-sack-panic-kernel-bug-now-to-stop-remote-attacks/

網友評論comments

發表評論

電子郵件地址不會被公開。 必填項已用*標注

暫無評論

Copyright ? 2012-2019 YUNWEIPAI.COM - 運維派 - 粵ICP備14090526號-3
掃二維碼
掃二維碼
返回頂部
街机电玩捕鱼抢红包 娱乐平台注册送现金 时时计划群发 风彩彩票下载app 德甲20112012赛程 吉林时时网站制作 百胜9b彩票app 安徽时时十一选五开奖结果走势图 北京时时网 500大透预测 七星彩开奖50期结果