Red Hat, va informar ahir que va identificar tres vulnerabilitats importants en el nucli de Linux. Tres falles relacionades, CVE-2019-11477, CVE-2019-11478 i CVE-2019-11479, S'han trobat a la gestió de la xarxa TCP per part de el nucli de Linux.
La més greu de les tres vulnerabilitats podria permetre que un atacant remot causi una falla en el nucli en els sistemes que tenen un paquet afectat i per tant, afecti l'estabilitat de sistema.
Red Hat va explicar ahir que s'han detectat tres falles relacionades en el maneig de el nucli de Linux de paquets SACK (reconeixement selectiu TCP) amb una mida de MSS baix.
La magnitud de l'impacte se suposa que es limita a la denegació de servei de moment. Actualment no es sospita cap elevació de privilegis o fugida d'informació per a les tres vulnerabilitats.
Sobre les vulnerabilitats
La companyia va citar tres vulnerabilitats, CVE-2019-11477, CVE-2019-11478 i CVE-2019-11479. CVE-2019-11477 que es consideren una severitat significativa, mentre que CVE-2019-11478 i CVE-2019-11479 es consideren severitat moderada.
Les dues primeres vulnerabilitats estan relacionades amb els paquets de reconeixement selectiu (SACK) combinats amb la mida màxima de segment (MSS) i la tercera només es relaciona amb la mida màxima de segment (MSS).
El reconeixement selectiu TCP (SACK) és un mecanisme mitjançant el qual el destinatari de les dades pot informar el remitent de tots els segments acceptats.
Això permet a l'remitent retransmetre els segments de la seqüència que estan absents del seu conjunt de «productes coneguts». Quan TCP SACK està deshabilitat, es requereix un conjunt molt més gran de retransmissions per retransmetre una seqüència completa.
La mida màxima de l'segment (MSS) és un paràmetre definit a la capçalera TCP d'un paquet que s'especifica la quantitat total de dades contingudes en un segment TCP reconstruït.
A causa que els paquets poden fragmentar durant la transmissió en diferents rutes, un host d'especificar el MSS com igual a la mida més gran de càrrega útil de datagrames IP que un host pot gestionar.
Les mides molt grans de MSS poden significar que un flux de paquets acaba sent fragmentat a mesura que es mou cap a la destinació, mentre que els paquets més petits poden garantir una menor fragmentació, però donen com a resultat una sobrecàrrega no utilitzada.
Els sistemes operatius i els tipus de transport poden usar les mides de MSS especificats per defecte.
Els atacants amb accés privilegiat poden crear paquets sense format amb opcions MSS especialment dissenyades per a aquest atac.
Cada segment TCP té un nombre de seqüència (SEQ) i un número de rebut (ACK). Aquests números de SEQ i ACK s'utilitzen per determinar quins segments ha estat rebut amb èxit pel receptor. El nombre d'ACK indica el següent segment esperat pel destinatari. Xarxa Hat va proporcionar un exemple per entendre això.
distribucions afectades
Red Hat té una llarga llista de productes afectats per aquestes tres vulnerabilitats. La llista dels productes principalment afectats és la següent:
- Red Hat Enterprise Linux 8
- Red Hat Enterprise Linux 7
- Red Hat Enterprise Linux 6
- Red Hat Enterprise Linux 5
- Xarxa Hat Atomic Host
- Xarxa Hat Enterprise MRG 2
- Xarxa Hat OpenShift Container Platform 4 (RHEL coreos)
- Xarxa Hat OpenShift en línia
- Xarxa Hat OpenShift Dedicat (i serveis dependents)
- OpenShift a Azure (ARO)
- Xarxa Hat OpenStack Platform (nucli d'imatges d'enviament)
- Xarxa Hat Virtualització (RHV-H)
Productes afectats de forma secundària:
- Xarxa Hat Virtualization (RHV)
- Plataforma OpenStack de Red Hat
- Xarxa Hat OpenShift Container Platform 3
Segons la companyia, tot i que les vulnerabilitats de l'nucli no afecten directament els contenidors de Red Hat Linux, la seva seguretat es basa en la integritat de l'entorn de l'nucli de l'amfitrió.
Xarxa Hat recomana que facis servir les últimes versions de les imatges dels teus contenidors. L'Índex d'estat de l'contenidor, que forma part del catàleg de contenidors de Red Hat, encara es pot utilitzar per determinar l'estat de seguretat dels contenidors de Red Hat.
Per protegir la confidencialitat dels contenidors usats, assegureu-vos que el host de l'contenidor (com Red Hat Enterprise Linux, coreos o Atomic host) s'hagi actualitzat per aquests atacs.
En el nucli de Linux, els problemes es corregeixen en les versions 4.4.182, 4.9.182, 4.14.127, 4.19.52 i 5.1.11