Red Hat a raportat ieri că a identificat trei vulnerabilități majore în Linux Kernel. Trei defecte conexe, CVE-2019-11477, CVE-2019-11478 și CVE-2019-11479, au fost găsite în gestionarea rețelei TCP de către Linux Kernel.
Cel mai serios dintre cele trei vulnerabilități ar putea permite unui atacator la distanță să provoace o defecțiune a nucleului pe sistemele care rulează un pachet afectat și astfel afectează stabilitatea sistemului.
Red Hat a explicat ieri că trei defecte conexe au fost detectate în manipularea de către nucleul Linux a pachetelor SACK (TCP selectivă de recunoaștere) cu dimensiune MSS redusă.
Se presupune că amploarea impactului este limitată la refuzul de serviciu pentru moment. În prezent, nu se suspectează o creștere a privilegiului sau a unei scurgeri de informații pentru cele trei vulnerabilități.
Despre vulnerabilități
Compania a citat trei vulnerabilități, CVE-2019-11477, CVE-2019-11478 și CVE-2019-11479. CVE-2019-11477 care sunt considerate severitate semnificativă, în timp ce CVE-2019-11478 și CVE-2019-11479 sunt considerate severitate moderată.
Primele două vulnerabilități sunt legate de pachetele de recunoaștere selectivă (SACK) combinat cu dimensiunea maximă a segmentului (MSS), iar al treilea se referă doar la dimensiunea maximă a segmentului (MSS).
Strângerea de mână selectivă TCP (SACK) este un mecanism prin care destinatarul datelor poate informa expeditorul cu privire la toate segmentele acceptate.
Acest lucru permite expeditorului să retransmită segmentele fluxului care sunt absente din setul lor de „produse cunoscute”. Când TCP SACK este dezactivat, este necesar un set mult mai mare de retransmisiuni pentru a retransmite o întreagă secvență.
Dimensiunea maximă a segmentului (MSS) este un parametru definit în antetul TCP a unui pachet care specifică cantitatea totală de date conținute într-un segment TCP reconstruit.
Deoarece pachetele pot fi fragmentate în timpul transmisiei pe diferite rute, o gazdă trebuie să specifice MSS ca fiind egală cu cea mai mare dimensiune sarcina utilă a datagramelor IP pe care o gazdă le poate gestiona.
Mărimi MSS foarte mari pot însemna că un flux de pachete ajunge să fie fragmentat pe măsură ce se îndreaptă spre destinație, în timp ce pachetele mai mici pot garanta o fragmentare mai mică, dar pot duce la cheltuieli generale neutilizate.
L sistemele de operare și tipurile de transport pot utiliza dimensiuni MSS specificate implicit
L atacatorii cu acces privilegiat pot crea pachete brute cu opțiuni MSS special concepute pentru acest atac.
Fiecare segment TCP are un număr de secvență (SEQ) și un număr de chitanță (ACK). Aceste numere SEQ și ACK sunt utilizate pentru a determina ce segmente au fost primite cu succes de către receptor. Numărul ACK indică următorul segment așteptat de destinatar. Red Hat a oferit un exemplu pentru a înțelege acest lucru.
Distribuții afectate
Red Hat are o listă lungă de produse afectate de aceste trei vulnerabilități. Lista produselor afectate în principal este următoarea:
- Red Hat Enterprise Linux 8
- Red Hat Enterprise Linux 7
- Red Hat Enterprise Linux 6
- Red Hat Enterprise Linux 5
- Red Hat Atomic Host
- Red Hat Enterprise MRG 2
- Red Hat OpenShift Container Platform 4 (RHEL CoreOS)
- Red Hat OpenShift Online
- Red Hat OpenShift dedicat (și servicii dependente)
- OpenShift pe Azure (ARO)
- Platforma Red Hat OpenStack (Kernel de imagine de expediere)
- Virtualizare Red Hat (RHV-H)
Produse secundare afectate:
- Virtualizare Red Hat (RHV)
- Platforma Red Hat OpenStack
- Red Hat OpenShift Container Platform 3
Potrivit companiei, deși vulnerabilitățile kernelului nu afectează direct containerele Red Hat Linux, securitatea lor se bazează pe integritatea mediului kernel al gazdei.
Red Hat vă recomandă să utilizați cele mai recente versiuni ale imaginilor containerului. Indicele de sănătate a containerelor, care face parte din catalogul de containere Red Hat, poate fi încă utilizat pentru a determina starea de securitate a containerelor Red Hat.
Pentru a proteja confidențialitatea containerelor utilizate, trebuie să vă asigurați că gazda containerului (cum ar fi Red Hat Enterprise Linux, CoreOS sau gazda Atomic) a fost actualizată pentru aceste atacuri.
În nucleul Linux, problemele sunt rezolvate în versiunile 4.4.182, 4.9.182, 4.14.127, 4.19.52 și 5.1.11