UCloud-201906-002:Linux 内核中TCP SACK机制远程DoS漏洞预警

漏洞详情

安全研究人员在Linux内核处理TCP SACK数据包模块中发现了三个漏洞，CVE编号为CVE-2019-11477、CVE-2019-11478和CVE-2019-11479，其中CVE-2019-11477漏洞能够降低系统运行效率，并可能被远程攻击者用于拒绝服务攻击，影响程度严重。

影响范围

系统

受影响版本

Linux 官方内核

2.6.29及以上版本

CentOS

CentOS 6: < 2.6.32-754.15.3

CentOS 7: < 3.10.0-957.21.3

Red Hat

Red Hat Enterprise Linux 6: < 2.6.32-754.15.3

Red Hat Enterprise Linux 7: < 3.10.0-957.21.3

Ubuntu

Ubuntu 12.04 ESM:< 3.2.0-141.188

Ubuntu 14.04 ESM:< 3.13.0-171.222

Ubuntu 16.04 LTS :< 4.4.0-151.178

Ubuntu 18.04 LTS :< 4.15.0-52.56

Ubuntu 18.10 :< 4.18.0-22.23

Ubuntu 19.04 :< 5.0.0-17.18

Debian

jessie < 3.16.68-2

stretch < 4.9.168-1+deb9u3

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外

1.升级到官方发布的版本

系统

修复方法

Linux 官方内核

更新补丁

Linux内核版本>=4.14需要打第二个补丁

CentOS

● 打开/etc/yum.conf文件，将exclude=后的内容修改为 centos-release*（执行后为exclude=centos-release*）,保存文件

● 执行yum update kernel升级内核

● 重启系统： reboot

● uname -a 查看版本如下，代表升级成功

CentOS 6: >=2.6.32-754.15.3

CentOS 7: >=3.10.0-957.21.3

Red Hat

Red Hat Enterprise Linux 6: > =2.6.32-754.15.3

Red Hat Enterprise Linux 7: > = 3.10.0-957.21.3

Ubuntu

1）执行升级命令

sudo apt-get update

sudo apt-get install linux-image-$version

$version：为修复版本

2）重启设备：sudo reboot

3）uname -a 查看版本为安全修复版本，代表升级成功

【安全修复版本列表】

Ubuntu 12.04 ESM:> = 3.2.0-141.188

Ubuntu 14.04 ESM:> = 3.13.0-171.222

Ubuntu 16.04 LTS :> = 4.4.0-151.178

Ubuntu 18.04 LTS :> = 4.15.0-52.56

Ubuntu 18.10 :> = 4.18.0-22.23

Ubuntu 19.04 :> = 5.0.0-17.18

Debian

1）执行升级命令

jessie和stretch都可用的升级方法：

apt-get update

apt-get upgrade

jessie升级方法二：

apt-get update

apt-get install linux-image-amd64

2）重启系统

3）uname -a 查看版本为安全修复版本，代表升级成功

【安全修复版本列表】

jessie >= 3.16.68-2

stretch >= 4.9.168-1+deb9u3

2.临时缓解方案： 禁用SACK处理防范漏洞被利用

echo 0 > /proc/sys/net/ipv4/tcp_sack

1. 临时缓解方案：使用过滤器来阻止攻击

ps:此缓解需要禁用TCP探测时有效（即在/etc/sysctl.conf文件中将net.ipv4.tcp_mtu_probing设置为0）

参考链接

https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md