看板 Gossiping作者 Arbin (路人_Lv眼殘帝)標題 [新聞] Netflix揭露FreeBSD與Linux核心漏洞時間 Wed Jun 19 15:48:44 2019
1.媒體來源:
iThome
2.記者署名
陳曉莉
3.完整新聞標題:
Netflix揭露FreeBSD與Linux核心漏洞
4.完整新聞內文:
Netflix的安全團隊在本周揭露位於FreeBSD與Linux核心的4個安全漏洞，這些漏洞都涉及
TCP網路，包括最小分段尺寸（Minimum Segment Size，MSS）與TCP選擇性確認（TCP
Selective Acknowledgement，SACK），而其中最嚴重的CVE-2019-11477漏洞又被稱為SACK
Panic，因為它允許駭客自遠端觸發核心錯誤（Kernel Panic）。
駭客只要透過特製的SACK序列，就有可能引發整數溢位（Integer Overflow）漏洞，進而
造成核心錯誤。CVE-2019-11477漏洞影響Linux 2.6.29及之前的版本。業者已釋出修補程
式，或者Linux用戶也能簡單關閉SACK處理功能來緩解。
CVE-2019-11478漏洞則允許駭客利用特製的SACK序列破壞TCP的重傳佇列，或是進一步開採
這些破碎的佇列，造成SACK緩慢或資源的過度使用，影響Linux 4.15以前的版本。
CVE-2019-5599也可以藉由特製SACK序列來破壞RACK send map，而造成SACK變慢，影響採
用RACK TCP Stack的FreeBSD 12。
至於所有版本的Linux則都含有CVE-2019-11479漏洞，它允許駭客強迫Linux核心把回應切
成多個TCP區段，但每個區段只含有8位元的資料量，大幅增加了傳送同樣資料量的所需頻
寬，同時還會額外耗損諸如CPU及NIC等資源，相當於阻斷服務攻擊。
CVE-2019-11479也有簡單的緩解方式，亦即利用過濾機制來限制最小分段尺寸（Minimum
Segment Size，MSS）所能採用的數值。
5.完整新聞連結 (或短網址):
https://www.ithome.com.tw/news/131329
6.備註:
有Bug/漏洞要趕快修R
--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.132.46.50 (臺灣)
※ 文章代碼(AID): #1T2UZYAr (Gossiping)
※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1560930530.A.2B5.html
推 muskaih: 嗯嗯 跟我想的一樣1F 114.137.218.252 台灣 06/19 15:49
推 a94037501: 有人在駭手機的嗎2F 42.77.127.237 台灣 06/19 15:50
國家單位級的有機會ㄅ
推 Mrlegend: 嗯嗯！我覺得他說的沒錯！3F 211.22.52.112 台灣 06/19 15:50
推 nh60211as: 可惡Windows又有bug了，啊是linux就沒4F 140.115.53.13 台灣 06/19 15:51
笑死
→ preisner: 靠! 這kernel版本, 十年前了吧!5F 60.248.161.28 台灣 06/19 15:51
真的很久了
推 AsahiBeer: 還好我沒切這麼細還算安全6F 180.176.156.36 台灣 06/19 15:51
有修補程式還是趕快補一補ㄅ
→ flash5408: 這最近很大條 記者慢快兩天 昨天早上就爆了 美國6/18早上7F 71.198.131.244 美國 06/19 15:53
我是覺得這速度還好啦 轉過來的消息總是會慢一點
不要超過兩天就好了 超過兩天真的太慢==
→ preisner: 一堆server都用linux,二樓只問手機??9F 60.248.161.28 台灣 06/19 15:53
XD
伺服器才是該頭大的地方
推 j5850666: 果然跟我當初想的一樣10F 39.12.235.131 台灣 06/19 15:53
※ 編輯: Arbin (220.132.46.50 臺灣), 06/19/2019 15:56:00
→ flash5408: 很大條是對traffic infra工程師來說11F 71.198.131.244 美國 06/19 15:55
--