顯示廣告
隱藏 ✕
※ 本文為 MindOcean 轉寄自 ptt.cc 更新時間: 2019-06-19 16:00:05
看板 Gossiping
作者 Arbin (路人_Lv眼殘帝)
標題 [新聞] Netflix揭露FreeBSD與Linux核心漏洞
時間 Wed Jun 19 15:48:44 2019


1.媒體來源:
iThome

2.記者署名
陳曉莉

3.完整新聞標題:
Netflix揭露FreeBSD與Linux核心漏洞

4.完整新聞內文:

Netflix的安全團隊在本周揭露位於FreeBSD與Linux核心的4個安全漏洞,這些漏洞都涉及
TCP網路,包括最小分段尺寸(Minimum Segment Size,MSS)與TCP選擇性確認(TCP
Selective Acknowledgement,SACK),而其中最嚴重的CVE-2019-11477漏洞又被稱為SACK
 Panic,因為它允許駭客自遠端觸發核心錯誤(Kernel Panic)。

駭客只要透過特製的SACK序列,就有可能引發整數溢位(Integer Overflow)漏洞,進而
造成核心錯誤。CVE-2019-11477漏洞影響Linux 2.6.29及之前的版本。業者已釋出修補程
式,或者Linux用戶也能簡單關閉SACK處理功能來緩解。


CVE-2019-11478漏洞則允許駭客利用特製的SACK序列破壞TCP的重傳佇列,或是進一步開採
這些破碎的佇列,造成SACK緩慢或資源的過度使用,影響Linux 4.15以前的版本。

CVE-2019-5599也可以藉由特製SACK序列來破壞RACK send map,而造成SACK變慢,影響採
用RACK TCP Stack的FreeBSD 12。

至於所有版本的Linux則都含有CVE-2019-11479漏洞,它允許駭客強迫Linux核心把回應切
成多個TCP區段,但每個區段只含有8位元的資料量,大幅增加了傳送同樣資料量的所需頻
寬,同時還會額外耗損諸如CPU及NIC等資源,相當於阻斷服務攻擊。


CVE-2019-11479也有簡單的緩解方式,亦即利用過濾機制來限制最小分段尺寸(Minimum
Segment Size,MSS)所能採用的數值。


5.完整新聞連結 (或短網址):
https://www.ithome.com.tw/news/131329
Netflix揭露FreeBSD與Linux核心漏洞 | iThome
[圖]
FreeBSD與Linux核心暗藏4個涉及TCP網路的安全漏洞,其中一個安全弱點全面影響所有版本的Linux,能讓駭客發動阻斷服務等級的攻擊 ...

 

6.備註:
有Bug/漏洞要趕快修R

--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.132.46.50 (臺灣)
※ 文章代碼(AID): #1T2UZYAr (Gossiping)
※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1560930530.A.2B5.html
muskaih: 嗯嗯 跟我想的一樣1F 114.137.218.252 台灣 06/19 15:49
a94037501: 有人在駭手機的嗎2F 42.77.127.237 台灣 06/19 15:50
國家單位級的有機會ㄅ
Mrlegend: 嗯嗯!我覺得他說的沒錯!3F 211.22.52.112 台灣 06/19 15:50
nh60211as: 可惡Windows又有bug了,啊是linux就沒4F 140.115.53.13 台灣 06/19 15:51
笑死
preisner: 靠! 這kernel版本, 十年前了吧!5F 60.248.161.28 台灣 06/19 15:51
真的很久了
AsahiBeer: 還好我沒切這麼細還算安全6F 180.176.156.36 台灣 06/19 15:51
有修補程式還是趕快補一補ㄅ
flash5408: 這最近很大條 記者慢快兩天 昨天早上就7F 71.198.131.244 美國 06/19 15:53
flash5408: 爆了 美國6/18早上
我是覺得這速度還好啦 轉過來的消息總是會慢一點
不要超過兩天就好了 超過兩天真的太慢==
preisner: 一堆server都用linux,二樓只問手機??9F 60.248.161.28 台灣 06/19 15:53
XD
伺服器才是該頭大的地方
j5850666: 果然跟我當初想的一樣10F 39.12.235.131 台灣 06/19 15:53
※ 編輯: Arbin (220.132.46.50 臺灣), 06/19/2019 15:56:00
flash5408: 很大條是對traffic infra工程師來說11F 71.198.131.244 美國 06/19 15:55

--
※ 看板: Gossiping 文章推薦值: 1 目前人氣: 0 累積人氣: 1066 
分享網址: 複製 已複製
( ̄︶ ̄)b coolnoss 說讚!
1樓 時間: 2019-06-19 17:02:42 (台灣)
  06-19 17:02 TW
華為正在開發的鴻蒙又是以Linux開放碼為基礎,本來這種免費資源為基礎的就有很多存在BUG,有機構在上市前點出TCP/IP中可能隱藏的封包隱憂,挺有良心。
r)回覆 e)編輯 d)刪除 M)收藏 ^x)轉錄 同主題: =)首篇 [)上篇 ])下篇