Netflix 發現發現 Linux 和 FreeBSD 內核 TCP 堆棧中存在多個“嚴重”全漏洞，可導致服務器宕機。

　　生產環境大量使用 linux 計算機的組織，需要緊急修補新多個補丁，以便阻止遠程攻擊導致系統崩毀。有三個缺陷影響 Linux 內核處理 TCP 網絡的方式，一個影響 FreeBSD TCP 堆棧。

　　CVE-2019-11477 是最嚴重的四個缺陷，被稱作 “SACK panic”，即 Linux 內核的 TCP 選擇性確認（TCP SelectiveAcknowledgement 簡稱 SACK）功能。

　　遠程攻擊者可以利用這個漏洞來觸發可能導致計算機崩潰的內核錯誤（Kernel panic)，進而引起拒絕服務。波及 Linux 內核版本 2.6.29 以及高于 2.6.29 以上版本。

　　Netflix把 BUG 的細節建議發布在 Github 上，并將它們定性為極其嚴重漏洞。紅帽(RedHat)自己評定 SACK Panic 為嚴重，而剩余的錯誤被認為是“中等”。

　　但是，如果遠程攻擊者能攻陷托管在亞馬遜云（AWS）基礎設施上的流媒體巨人的 Linux 主機，網飛對這些 BUG 的嚴重評級是很中肯的。

AWS 官網

　　在這方面，AWS 已發布三個修補這些 Linux BUG 的更新（），AWS Elastic Beanstalk，AmazonLinux，基于 Linux 的 EC2 實例，Amazon Linux WorkSpaces 和 Amazon 的 Kubernetes 容器服務將受到這些 BUG 的影響。

　　一些服務，如 Amazon ElasticCache 如果使用默認配置將不會中招，但如果用戶更改了默認配置，將會受到影響。

　　其他幾個 BUG，包含 CVE-2019011478 又名 SACK Slowness,波及低于 4.15 版本的 linux 內核的系統; FreeBSD12 受到另一個 SACK Slowness 漏洞 CVE-2019-5599 影響;CVE-2019-11479 會導致系統過多資源消耗。

　　這三個 linux 缺陷和內核如何處理具有低值的最大報文段長度（MSS）的 TCP SACK 數據包相關，并受其影響。 RedHat 在其公告中指出，影響僅限于“此時”的拒絕服務，并且不能用于泄露信息的提權。

　　SACK 是一種用于改善發送者和接受者之間的 TCP 丟包而引起的網絡低效問題的機制。

　　起草 SACK 的 IETF 標準的工程師們解釋說：“當一個數據窗口丟失多個數據包時，TCP 可能會遇到性能問題。由于累積確認可用的信息受限，TCP 發送方只能一個周期中只能知道一個丟包。主動發送可以選擇提前重新發送數據包，但是這些重新發送的段可能已經被成功接收。

　　“選擇性確認（SACK）機制與選擇性重復重傳策略相結合，可以幫助克服這些限制。接收 TCP 將 SACK 數據包發送回發送方，通知發送方已收到的數據。發送方只用重發丟失的數據段“。

　　據 RedHat 稱，由于 Linux TCP 實現中使用的數據結構稱為套接字緩沖區（SKB），該數據結構能夠容最多 17 個分組數據片段，可能引發系統崩潰。

　　一旦 SKB 達到上限，結果可能導致內核錯誤(Kernel panic)事件。另外一個因素是最大報文段長度(MSS)，或是指定最大承載數據的數量最大尺寸參數它指定重構 TCP 段中包含的數據總量。或者是最大承載數據數量的最大尺寸參數，此參數用于用于指定重構的 TCP 段中包含的數據總量。

　　RedHat 解釋道，“遠程用戶可以通過將 TCP 連接的最大報文段長度（MSS）設置為 48 字節的最低限制并發送一系列特制的 SACK 數據包來觸發此問題。最低 MSS 每段只留下 8 個字節的數據，因此可以增加發送所有數據所需的 TCP 段數。“

　　修復公告：

　　到目前為止Red Hat，Amazon Web Services，SUSE，grsecurity，阿里云，騰訊云，華為云等官方發布公告。

阿里云

　　2019 年 6 月 18 日，阿里云應急響應中心監控到國外某安全研究組織披露 Linux 內核 TCP SACK 機制存在缺陷，可導致遠程拒絕服務。CVE 編號為 CVE-2019-11477、CVE-2019-11478 和 CVE-2019-11479。

　　漏洞描述

　　Linux 內核 2.6.29 及之后版本在處理 TCP SACK 機制時存在缺陷，導致整數溢出漏洞，攻擊者可以構造特定的 SACK 包，遠程觸發 Linux 服務器內核模塊溢出漏洞，實現遠程拒絕服務攻擊。

　　漏洞評級

　　CVE-2019-11477高危

　　CVE-2019-11478中危

　　CVE-2019-11479中危

騰訊云

華為云

　　Red Hat：

　　https://access.redhat.com/security/vulnerabilities/tcpsack

　　AWS：

　　https://aws.amazon.com/cn/security/security-bulletins/AWS-2019-005/?nc1=h_ls

　　SUSE：

　　https://www.suse.com/de-de/support/kb/doc/?id=7023928

　　grsecurity：

　　https://seclists.org/oss-sec/2019/q2/182

　　阿里云：

　　https://help.aliyun.com/noticelist/articleid/1060012493.html?spm=a2c4g.789004748.n2.7.15386141GM8Eyl

　　騰訊云：

　　https://cloud.tencent.com/announce/detail/622

　　華為云：

　　https://www.huaweicloud.com/notice/2018/20190619122553544.html

　　參考鏈接：

　　https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md

　　https://www.zdnet.com/google-amp/article/netflix-to-linux-users-patch-sack-panic-kernel-bug-now-to-stop-remote-attacks/

總結

以上是生活随笔為你收集整理的预警 | Linux 爆 TCP “SACK Panic” 漏洞！N 家中招的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。