Red Hat a rapporté hier avoir identifié trois vulnérabilités majeures dans le noyau Linux. Trois défauts liés, CVE-2019-11477, CVE-2019-11478 et CVE-2019-11479, ont été trouvés dans la gestion du réseau TCP par le noyau Linux.
Le plus sérieux des trois vulnérabilités pourrait permettre à un attaquant distant de provoquer une défaillance du noyau sur les systèmes exécutant un package affecté et affectent ainsi la stabilité du système.
Red Hat a expliqué hier que trois failles liées ont été détectées dans la gestion par le noyau Linux des paquets SACK (TCP Sélectif Accusé de réception) de faible taille MSS.
On suppose que l'ampleur de l'impact est limitée au déni de service pour le moment. Actuellement, aucune élévation de privilège ou fuite d'informations n'est suspectée pour les trois vulnérabilités.
À propos des vulnérabilités
La société a cité trois vulnérabilités, CVE-2019-11477, CVE-2019-11478 et CVE-2019-11479. CVE-2019-11477 qui sont considérés comme de sévérité significative, tandis que CVE-2019-11478 et CVE-2019-11479 sont considérés comme de sévérité modérée.
Les deux premières vulnérabilités sont liées aux paquets de reconnaissance sélective (SACK) combiné avec la taille maximale de segment (MSS) et le troisième ne concerne que la taille maximale de segment (MSS).
La prise de contact TCP sélective (SACK) est un mécanisme par lequel le destinataire des données peut informer l'expéditeur de tous les segments acceptés.
Cela permet à l'expéditeur de retransmettre les segments du flux qui sont absents de son ensemble de «produits connus». Lorsque TCP SACK est désactivé, un ensemble beaucoup plus grand de retransmissions est nécessaire pour retransmettre une séquence entière.
La taille maximale du segment (MSS) est un paramètre défini dans l'en-tête TCP d'un paquet qui spécifie la quantité totale de données contenues dans un segment TCP reconstruit.
Parce que les paquets peuvent être fragmentés lors de la transmission sur différentes routes, un hôte doit spécifier le MSS comme étant égal à la plus grande taille charge utile des datagrammes IP qu'un hôte peut gérer.
De très grandes tailles de MSS peuvent signifier qu'un flux de paquets finit par être fragmenté à mesure qu'il se déplace vers la destination, des paquets plus petits peuvent garantir moins de fragmentation mais entraîner une surcharge inutilisée.
Les les systèmes d'exploitation et les types de transport peuvent utiliser des tailles MSS spécifiées par défaut
Les les attaquants avec un accès privilégié peuvent créer des packages bruts avec des options MSS spécialement conçues pour cette attaque.
Chaque segment TCP a un numéro de séquence (SEQ) et un numéro de reçu (ACK). Ces numéros SEQ et ACK sont utilisés pour déterminer quels segments ont été reçus avec succès par le récepteur. Le numéro ACK indique le segment suivant attendu par le destinataire. Red Hat a fourni un exemple pour comprendre cela.
Distributions affectées
Red Hat possède une longue liste de produits affectés par ces trois vulnérabilités. La liste des produits principalement concernés est la suivante:
- Red Hat Enterprise Linux 8
- Red Hat Enterprise Linux 7
- Red Hat Enterprise Linux 6
- Red Hat Enterprise Linux 5
- Hôte atomique Red Hat
- Red Hat Enterprise MRG2
- Plateforme de conteneurs Red Hat OpenShift 4 (RHEL CoreOS)
- Red Hat OpenShift en ligne
- Red Hat OpenShift Dedicated (et services dépendants)
- OpenShift sur Azure (ARO)
- Plateforme Red Hat OpenStack (noyau d'images d'expédition)
- Virtualisation Red Hat (RHV-H)
Produits affectés secondaires:
- Virtualisation Red Hat (RHV)
- Plateforme Red Hat OpenStack
- Plateforme de conteneurs Red Hat OpenShift 3
Selon la société, bien que les vulnérabilités du noyau n'affectent pas directement les conteneurs Red Hat Linux, leur sécurité est basée sur l'intégrité de l'environnement du noyau de l'hôte.
Red Hat vous recommande d'utiliser les dernières versions de vos images de conteneur. L'indice de santé des conteneurs, qui fait partie du catalogue de conteneurs Red Hat, peut toujours être utilisé pour déterminer l'état de sécurité des conteneurs Red Hat.
Pour protéger la confidentialité des conteneurs utilisés, vous devez vous assurer que l'hôte du conteneur (tel que l'hôte Red Hat Enterprise Linux, CoreOS ou Atomic) a été mis à jour pour ces attaques.
Dans le noyau Linux, les problèmes sont résolus dans les versions 4.4.182, 4.9.182, 4.14.127, 4.19.52 et 5.1.11