LinuxカーネルのTCP「SACKのPANIC」の存在にトレースサービスの脆弱性のリモート拒否（脆弱性ID：CVE-2019から11477、CVE-2019から11478、CVE-2019から11479）は、攻撃者はシステムクラッシュにつながる、脆弱性のリモートターゲットサーバーを悪用する可能性がありますまたはサービスを提供することができません
脆弱性の詳細
最近、テンセントクラウドセキュリティセンターインテリジェンスプラットフォームの監視Netflixのへの情報セキュリティチームの研究者ジョナサン・ルーニーは、などのシステムのカーネルをLinuxやFreeBSD上で深刻なリモートのDoSの脆弱性を発見し、攻撃者がターゲットサーバに特別なSACKシーケンス要求を作成して送信するために脆弱性を悪用する可能性がサーバーを引き起こしクラッシュやサービス拒否。
バージョンに影響を及ぼし
次のように知られている影響を受けるバージョンは以下のとおりです。
- FreeBSDの12（TCPスタックをラックに使用）
- CentOSの5（RedHatの公式サポートが停止された、もはやパッチを提供していません）
- CentOSの6
- CentOSの7
- Ubuntuの18.04 LTS
- Ubuntuの16.04 LTS
- Ubuntuの19.04
- Ubuntuの18.10
セキュリティバージョン
主要なLinuxディストリビューションベンダーは、カーネルの修正、次のようにカーネルのバージョンがあるなし抜け穴をリリースしました：
- CentOSの6：2.6.32-754.15.3
- CentOSの7：3.10.0-957.21.3
- Ubuntuの18.04 LTS：4.15.0-52.56
- Ubuntuの16.04 LTS：4.4.0-151.178
修復方法
次のように操作を参照して、Linuxサーバのカーネルのバージョンをアップグレード上記の[セキュリティ]を参照してください。
CentOSの
勧告：[CentOSの6/7シリーズユーザー]
yum clean all && yum makecache、ソフトウェアのアップデート元;yum update kernel -y、現在のカーネルバージョンを更新します。reboot、有効にするには、更新後にシステムを再起動します。uname -a、現在のバージョンは、[]上記の安全なバージョンで確認し、もしそうであれば、その後の修理は成功です。
Ubuntuの
勧告：[Ubuntuの16.04 / 18.04 LTSシリーズユーザー]
sudo apt-get update && sudo apt-get install linux-image-generic、ソフトウェアのソースの更新と、カーネルの最新バージョンをインストールします。sudo reboot、有効にするには、更新後にシステムを再起動します。uname -a、現在のバージョンは、バージョン[セキュリティ]でチェックし、もしそうであれば、その後の修理は成功です。
一時
一時的な軽減プログラム：そのようなカーネルパッチの更新を再開するために、ユーザにとっては不便としては、次のコマンドを実行し、（ネットワークのパフォーマンスに一定の影響を与える可能性があります）悪用を防止するように構成されSACKは、次のようにカーネルを無効にするために選択することができます。
echo 'net.ipv4.tcp_sack = 0' >> /etc/sysctl.confSACKの設定を無効にします。sysctl -p、有効にする設定をリロードしてください。
参照
- 公式発表：https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md
- コミュニティ参考：https://www.openwall.com/lists/oss-security/2019/06/17/5
- Red Hatの発表：https://access.redhat.com/security/vulnerabilities/tcpsack
- テンセントのお知らせ：https://cloud.tencent.com/announce/detail/622
付録
私のサーバーはCentOSの、とてもその例です。
# 进行软件源更新
[root@VM_0_3_centos ~]# yum clean all && yum makecache
Loaded plugins: fastestmirror, langpacks
Cleaning repos: epel extras librehat-shadowsocks os updates
Cleaning up list of fastest mirrors
Loaded plugins: fastestmirror, langpacks
Determining fastest mirrors
epel | 5.3 kB 00:00:00
extras | 3.4 kB 00:00:00
librehat-shadowsocks | 3.0 kB 00:00:00
os | 3.6 kB 00:00:00
updates | 3.4 kB 00:00:00
(1/22): epel/7/x86_64/group_gz | 88 kB 00:00:01
(2/22): epel/7/x86_64/updateinfo | 978 kB 00:00:01
(3/22): epel/7/x86_64/prestodelta | 717 B 00:00:00
(4/22): epel/7/x86_64/filelists_db | 11 MB 00:00:06
(5/22): epel/7/x86_64/primary_db | 6.8 MB 00:00:15
(6/22): epel/7/x86_64/updateinfo_zck | 1.4 MB 00:00:00
(6/22): epel/7/x86_64/updateinfo_zck | 1.4 MB 00:00:00
(6/22): epel/7/x86_64/updateinfo_zck | 1.4 MB 00:00:00
(6/22): epel/7/x86_64/updateinfo_zck | 1.4 MB 00:00:00
(6/22): epel/7/x86_64/updateinfo_zck | 1.4 MB 00:00:00
(7/22): extras/7/x86_64/prestodelta | 65 kB 00:00:01
(8/22): extras/7/x86_64/primary_db | 205 kB 00:00:01
(9/22): extras/7/x86_64/other_db | 127 kB 00:00:00
(10/22): librehat-shadowsocks/x86_64/filelists_db | 17 kB 00:00:00
(11/22): librehat-shadowsocks/x86_64/primary_db | 23 kB 00:00:00
(12/22): librehat-shadowsocks/x86_64/other_db | 10 kB 00:00:00
(13/22): os/7/x86_64/group_gz | 166 kB 00:00:00
(14/22): os/7/x86_64/primary_db | 6.0 MB 00:00:03
(15/22): os/7/x86_64/filelists_db | 7.1 MB 00:00:05
(16/22): os/7/x86_64/other_db | 2.6 MB 00:00:00
(17/22): updates/7/x86_64/prestodelta | 797 kB 00:00:00
(18/22): updates/7/x86_64/primary_db | 6.4 MB 00:00:01
(19/22): updates/7/x86_64/other_db | 641 kB 00:00:00
(20/22): updates/7/x86_64/filelists_db | 4.4 MB 00:00:05
epel/7/x86_64/other_db
http://mirrors.tencentyun.com/epel/7/x86_64/repodata/24838144a5b86bb0cd90b22255258aeed11691115ae3c35463e471cbae0f2ab9-other.sqlite.bz2: [Errno 12] Timeout on http://mirrors.tencentyun.com/epel/7/x86_64/repodata/24838144a5b86bb0cd90b22255258aeed11691115ae3c35463e471cbae0f2ab9-other.sqlite.bz2: (28, 'Operation too slow. Less than 1000 bytes/sec transferred the last 30 seconds')
Trying other mirror.
(21/22): extras/7/x86_64/filelists_db | 246 kB 00:00:26
(22/22): epel/7/x86_64/other_db | 3.2 MB 00:00:12
Metadata Cache Created
# 更新内核
[root@VM_0_3_centos ~]# yum update kernel -y
Loaded plugins: fastestmirror, langpacks
Loading mirror speeds from cached hostfile
Resolving Dependencies
--> Running transaction check
---> Package kernel.x86_64 0:3.10.0-957.21.3.el7 will be installed
--> Finished Dependency Resolution
Dependencies Resolved
=======================================================================================================================================================================
Package Arch Version Repository Size
=======================================================================================================================================================================
Installing:
kernel x86_64 3.10.0-957.21.3.el7 updates 48 M
Transaction Summary
=======================================================================================================================================================================
Install 1 Package
Total download size: 48 M
Installed size: 63 M
Downloading packages:
Delta RPMs disabled because /usr/bin/applydeltarpm not installed.
kernel-3.10.0-957.21.3.el7.x86_64.rpm | 48 MB 00:00:11
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
Installing : kernel-3.10.0-957.21.3.el7.x86_64 1/1
Verifying : kernel-3.10.0-957.21.3.el7.x86_64 1/1
Installed:
kernel.x86_64 0:3.10.0-957.21.3.el7
Complete!
# 重启
[root@VM_0_3_centos ~]# reboot
# 查看内核版本是否为最新的`3.10.0-957.21.3`
[root@VM_0_3_centos ~]# uname -a
Linux VM_0_3_centos 3.10.0-957.21.3.el7.x86_64 #1 SMP Tue Jun 18 16:35:19 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux