Linux 内核TCP SACK机制远程拒绝服务漏洞

背景信息:

2019年6月18日,国外某安全研究组织披露Linux 内核TCP SACK机制存在缺陷,可导致远程拒绝服务。CVE编号为CVE-2019-11477、CVE-2019-11478和CVE-2019-11479。

漏洞描述:

Linux 内核2.6.29及之后版本在处理TCP SACK机制时存在缺陷,导致整数溢出漏洞,攻击者可以构造特定的SACK包,远程触发Linux服务器内核模块溢出漏洞,实现远程拒绝服务攻击。

漏洞定级:

  1. CVE-2019-11477 高危
  2. CVE-2019-11478 中危
  3. CVE-2019-11479 中危

漏洞影响范围:

  1. Linux> = 2.6.29(CVE-2019-11477)
  2. Linux <4.15/所有Linux版本(CVE-2019-11478)
  3. 使用RACK TCP堆栈的FreeBSD 12(CVE-2019-5599)
  4. 所有Linux版本(CVE-2019-11479)

漏洞处置建议:

1、禁用SACK机制功能,执行如下命令:

echo 0 > /proc/sys/net/ipv4/tcp_sack
sysctl -w net.ipv4.tcp_sack=0

2、升级Linux安全补丁(需要重启服务器)

  1. Ubuntu 系列:apt-get update && sudo apt-get install linux-image-generic
  2. Centos 系列:yum update kernel
  3. 其他Linux 补丁可参考:https://github.com/Netflix/security-bulletins/tree/master/advisories/third-party/2019-001

注意:内核漏洞的修复对业务会产生很多不可预见的风险,请一定慎重。

扩展知识引用:

RedHat系统用户可使用官方脚本检测漏洞是否存在:https://access.redhat.com/sites/default/files/cve-2019-11477--2019-06-17-1629.sh

相关推荐:
Win10以及之前的Win7/Win8/Win8.1在有密码的情况下会在登录画面要求用户输入密码,这是出于安全考虑。可有时候我们也许不想要输入密码,但又不想直接去掉密码。 有没有什么办法让Win10自动登录呢? 当然有 …
一、处理器插槽选购注意事项 在我们选购主板之前,应该确定一下我们要选择什么样的主板,什么样的主板对我们来讲是合适的。最贵的产品不见得就是最适合我们的。目前市面上的主板产品根据支持CPU的不同,其 …
WordPress是一种使用PHP语言开发的博客平台,用户可以在支持PHP和MySQL 数据库的服务器上架设自己的网志。也可以把WordPress 当作一个内容管理系统(CMS)来使用。WordPress 是一个免费的开源项目,在GNU通 …
Xcode是 macOS 系统以及ios系统开发者专用于构建 macOS 及 ios 应用程序的完整工具集。 Xcode 经过重新设计,它们的性能更优秀、使用更容易,能带给用户前所未有的助益。具有全新的用户界面,而且它赖 …
漏洞描述: 2018年3月29日,Drupal官方发布新补丁和安全公告,宣称Drupal 6.x,7.x,8.x等多个子版本存在远程代码执行漏洞,攻击者可以利用Drupal网站漏洞执行代码,导致网站被完全控制。 漏洞定级: 高危 …
拿起手机扫一扫即可带走我!