安全播报

防御吧作为15年知名老牌域名服务商,CNNIC和CANN双认证域名注册商,已经
持续为500多万个域名提供服务,包括智能DNS/自由转移/隐私保护等服务!
Netflix发现多个Linux和FreeBSD DoS漏洞
2019-06-18 12:15:18 【

在最近的Linux和FreeBSD内核处理TCP网络的方式中发现的拒绝服务缺陷可被远程攻击者利用来触发易受攻击的系统中的内核恐慌。


总而言之,Netflix信息安全公司的Jonathan Looney发现了三个Linux漏洞,其中两个与“最小段大小(MSS)和TCP选择性确认(SACK)功能”相关,而另一个与MSS相关,其中最严重的一个名为SACK Panic 可能导致受影响的系统出现紧急情况并重新启动的问题。


根据Red Hat的说法,影响内核TCP处理子系统的问题通过多个CVE进行跟踪,CVE-2019-11477 SACK Panic已被指定为7.5 CVSS3基本分数的重要严重程度,而CVE-2019-11478和CVE- 2019-11479被认为是中度严重性漏洞。


Netflix的NFLX-2019-001安全建议中已详细介绍了补丁程序,并且修补程序也可用于修补程序不是直接或简单的选项。


SACK Panic安全漏洞

SACK Panic漏洞(Debian,Red Hat,Ubuntu,Suse,AWS)会影响Linux内核2.6.29及更高版本,并且可以通过“在具有较小值的TCP MSS的TCP连接上发送精心设计的SACK段序列”来利用它。这将触发整数溢出。


为了解决这个问题,“应用修补程序PATCH_net_1_4.patch(https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001/PATCH_net_1_4.patch)。此外,Linux内核的版本,包括4.14版本需要第二个修补程序PATCH_net_1a.patch(https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001/PATCH_net_1a.patch)”,Netflix Information Security的建议说。


为了缓解这个问题,用户和管理员可以完全禁用系统上的SACK处理(通过将/ proc / sys / net / ipv4 / tcp_sack设置为0)或使用Netflix信息安全提供的过滤器阻止与低MSS的连接 - 第二个缓解措施仅在禁用TCP探测时才有效。


更多拒绝服务的漏洞

另外两个漏洞影响所有Linux版本,CVE-2019-11478(被称为SACK Slowness)可通过发送“一个精心设计的SACK序列来分解TCP重传队列”来利用,而CVE-2019-11479允许攻击者触发DoS通过发送“具有低MSS值的精心制作的数据包来触发过多的资源消耗”来进行状态。


CVE-2019-5599是CVE-2019-11478的FreeBSD版本,它使用RACK TCP堆栈影响FreeBSD 12的安装,并且可以通过提供“一个精心设计的SACK序列来破坏RACK发送映射”。


Linux和FreeBSD管理员和用户可以通过应用PATCH_net_2_4.patch(https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001/PATCH_net_2_4.patch)修复第一个,第二个可以修复PATCH_net_3_4.patch(https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001/PATCH_net_3_4.patch)和PATCH_net_4_4.patch(https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001/PATCH_net_4_4.patch)安全补丁。可以通过应用“split_limit.patch(https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001/split_limit.patch)并将net.inet.tcp.rack.split_limit sysctl设置为合理的值来修补CVE-2019-5599以限制SACK表的大小。”


作为解决方法,CVE-2019-11478和CVE-2019-11479都可以通过使用Netflix信息安全提供的过滤器阻止具有低MSS的远程网络连接来缓解 - 应用过滤器可能随后破坏低MMS合法连接。只需切换RACK TCP堆栈即可缓解FreeBSD漏洞。


“目前,影响程度仅限于拒绝服务。目前没有特权升级或信息泄露,”Red Hat说。


“良好的系统和应用程序编码和配置实践(将写入缓冲区限制在必要的级别,通过SO_MEMINFO监视连接内存消耗,以及积极关闭行为不当的连接)可以帮助限制攻击这些类型漏洞的影响,”Netflix信息还指出安全性在其咨询中。


】【打印关闭】 【返回顶部
分享到QQ空间
分享到: 
上一篇CNNVD 关于Apache AXIS远程命令执.. 下一篇关于Oracle WebLogic Server远程..

立足首都,辐射全球,防御吧专注云防御及云计算服务15年!

联系我们

服务热线:010-56157787 ,010-56159998
企业QQ:4000043998
技术支持:010-56159998
E-Mail:800@fangyuba.com
Copyright ? 2003-2016 fangyuba. 防御吧(完美解决防御与加速) 版权所有 增值许可:京B2-20140042号
售前咨询
公司总机:4000043998 01056155355
24小时电话:010-56159998
投诉电话:18910191973
值班售后/技术支持
售后服务/财务
备案专员
紧急电话:18610088800