Специалисты компании Netflix обнаружили четрые DoS-уязвимости в TCP-стеках Linux и FreeBSD. Эксплуатация этих багов c помощью специально модифицированных пакетов TCP может спровоцировать kernel panic и вывести уязвимый сервер из строя и «забить» каналы связи.
Эксперты объясняют, что проблемы связаны с MSS (minimum segment size) и SACK (TCP Selective Acknowledgement).
Наиболее серьезной из всех проблем является уязвимость CVE-2019-11477, получившая название SACK Panic. Багу подвержены ядра Linux начиная с 2.6.29 и выше. Эксплуатировать эту проблему можно путем отправки специальных SACK-пакетов, что спровоцирует целочисленное переполнение, «панику» ядра и, в конечном итоге, приведет к отказу в обслуживании.
Аналитики Netflix описывают этот баг как критический, однако их коллеги из RedHat полагают, что уязвимость стоит оценивать как «важную», а остальные баги и вовсе получили пометку «умеренно» (moderate).
Стоит сказать, что эксперты Netflix сочли проблему критической из-за таких гигантов, как Amazon Web Services (AWS), инфраструктура которых может оказаться под угрозой из-за бага. В связи с этим специалисты AWS уже выпустили обновления, которые затрагивают AWS Elastic Beanstalk, Amazon Linux, EC2 на основе Linux, Amazon Linux WorkSpaces и контейнеры Amazon Kubernetes.
Среди других обнаруженных уязвимостей были проблемы CVE-2019-11478 или SACK Slowness, которая влияет на Linux 4.15 и ниже; еще одна проблема SACK Slowness — CVE-2019-5599 которая, затрагивает FreeBSD 12 с RACK; а также баг CVE-2019-11479 , способный вызывать избыточное потребление ресурсов (повышение трафика, увеличение нагрузки на CPU и так далее).
Все три проблемы связаны с тем, как ядро обрабатывает пакеты TCP SACK с низким MSS. Эксперты RedHat отмечают, что пока эти уязвимости могут использовать только для провоцирования отказа в обслуживании и их нельзя применить для повышения привилегий или кражи информации.
В настоящее время бюллетени безопасности, связанные с новыми багами, уже опубликовали Red Hat, Amazon Web Services, SUSE и Grsecurity. Компании дали рекомендации администраторам и пообещали в ближайшее время опубликовать обновления для всех своих уязвимых продуктов.
