SACK Panic, sårbarhet i Linux knyttet til TCP

Publisert: 24.06.2019

Det har blitt oppdaget tre feil i Linux og FreeBSD sin håndtering av TCP pakker.

Sårbarheten finnes i TCP funksjonene «Minimum segment size» (MSS) og TCP Selective Acknowledgement (SACK). Den mest alvorlige sårbarheten, kalt SACK Panic, kan gjøre det mulig for en angriper å utføre tjenestenektangrep over internett. Sårbarheten vurderes som kritisk.

Sårbarheten deles inn i 4 dedikerte CVE-er:

  • CVE-2019-11477: SACK Panic (Linux >= 2.6.29)
  • CVE-2019-11478: SACK Slowness (Linux < 4.15) or Excess Resource Usage (Alle Linux versjoner)
  • CVE-2019-11479: Excess Resource Consumption Due to Low MSS Values (Alle Linux versjoner)
  • CVE-2019-5599: SACK Slowness (FreeBSD 12 som bruker RACK TCP STACK)

Flere Linux distroer har allerede publisert sikkerhetsfikser som adresserer sårbarhetene:

  • Ubuntu [3]
  • Redhat [4]
  • Debian [5]

Vi anbefaler alle som kjører Linux om å installere sikkerhetsoppdatering for sin distro. Hvis det ikke foreligger sikkerhetsoppdatering bør man vurdere muligheten for andre skadereduserende tiltak.

Vi er ikke kjent med aktiv utnyttelse av sårbarheten, men vurderer det som sannsynlig at det vil forekomme i nær fremtid.

Referanser:

  1. https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md
  2. Microsoft patchetirsdag juni 2019
  3. https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SACKPanic
    1. https://usn.ubuntu.com/4017-2/
    2. https://usn.ubuntu.com/4017-1/
  4. https://access.redhat.com/security/vulnerabilities/tcpsack
  5. https://security-tracker.debian.org/tracker/CVE-2019-11477