Netflix揭露FreeBSD與Linux核心TCP/IP架構存在安全漏洞

waishingme

黑客有機會利用漏洞，透過殭屍電腦發動 “Ping of Death”嘅 DDoS 去癱瘓伺服器嘅網絡連接

Netflix 原文：
https://github.com/Netflix/secur ... d-party/2019-001.md

相關新聞報道：
https://www.ithome.com.tw/news/131329

2019-06-18發表

Netflix的安全團隊在本周揭露位於FreeBSD與Linux核心的4個安全漏洞，這些漏洞都涉及TCP網路，包括最小分段尺寸（Minimum Segment Size，MSS）與TCP選擇性確認（TCP Selective Acknowledgement，SACK），而其中最嚴重的CVE-2019-11477漏洞又被稱為SACK Panic，因為它允許駭客自遠端觸發核心錯誤（Kernel Panic）。

駭客只要透過特製的SACK序列，就有可能引發整數溢位（Integer Overflow）漏洞，進而造成核心錯誤。CVE-2019-11477漏洞影響Linux 2.6.29及之前的版本。業者已釋出修補程式，或者Linux用戶也能簡單關閉SACK處理功能來緩解。

CVE-2019-11478漏洞則允許駭客利用特製的SACK序列破壞TCP的重傳佇列，或是進一步開採這些破碎的佇列，造成SACK緩慢或資源的過度使用，影響Linux 4.15以前的版本。

CVE-2019-5599也可以藉由特製SACK序列來破壞RACK send map，而造成SACK變慢，影響採用RACK TCP Stack的FreeBSD 12。

至於所有版本的Linux則都含有CVE-2019-11479漏洞，它允許駭客強迫Linux核心把回應切成多個TCP區段，但每個區段只含有8位元的資料量，大幅增加了傳送同樣資料量的所需頻寬，同時還會額外耗損諸如CPU及NIC等資源，相當於阻斷服務攻擊。CVE-2019-11479也有簡單的緩解方式，亦即利用過濾機制來限制最小分段尺寸（Minimum Segment Size，MSS）所能採用的數值。