Специалисты Netflix нашли несколько DoS-уязвимостей в Linux и FreeBSD - «Новости»

Xakep #242. Фаззинг

• Содержание выпуска


• Подписка на «Хакер»

Специалисты компании Netflix обнаружили четрые DoS-уязвимости в TCP-стеках Linux и FreeBSD. Эксплуатация этих багов c помощью специально модифицированных пакетов TCP может спровоцировать kernel panic и вывести уязвимый сервер из строя и «забить» каналы связи.

Эксперты объясняют, что проблемы связаны с MSS (minimum segment size) и SACK (TCP Selective Acknowledgement).

Наиболее серьезной из всех проблем является уязвимость CVE-2019-11477, получившая название SACK Panic. Багу подвержены ядра Linux начиная с 2.6.29 и выше. Эксплуатировать эту проблему можно путем отправки специальных SACK-пакетов, что спровоцирует целочисленное переполнение, «панику» ядра и, в конечном итоге, приведет к отказу в обслуживании.

Аналитики Netflix описывают этот баг как критический, однако их коллеги из RedHat полагают, что уязвимость стоит оценивать как «важную», а остальные баги и вовсе получили пометку «умеренно» (moderate).

Стоит сказать, что эксперты Netflix сочли проблему критической из-за таких гигантов, как Amazon Web Services (AWS), инфраструктура которых может оказаться под угрозой из-за бага. В связи с этим специалисты AWS уже выпустили обновления, которые затрагивают AWS Elastic Beanstalk, Amazon Linux, EC2 на основе Linux, Amazon Linux WorkSpaces и контейнеры Amazon Kubernetes.

Среди других обнаруженных уязвимостей были проблемы CVE-2019-11478 или SACK Slowness, которая влияет на Linux 4.15 и ниже; еще одна проблема SACK Slowness — CVE-2019-5599  которая, затрагивает FreeBSD 12 с RACK; а также баг CVE-2019-11479 , способный вызывать избыточное потребление ресурсов (повышение трафика, увеличение нагрузки на CPU и так далее).

Все три проблемы связаны с тем, как ядро обрабатывает пакеты TCP SACK с низким MSS. Эксперты RedHat отмечают, что пока эти уязвимости могут использовать только для провоцирования отказа в обслуживании и их нельзя применить для повышения привилегий или кражи информации.

В настоящее время бюллетени безопасности, связанные с новыми багами, уже опубликовали Red Hat, Amazon Web Services, SUSE и Grsecurity. Компании дали рекомендации администраторам и пообещали в ближайшее время опубликовать обновления для всех своих уязвимых продуктов.