Zdroj: The Register
Bezpečnostný zamestnanec firmy Netflix Jonathan Looney objavil niekoľko vážnych zraniteľností v Linux a FreeBSD kerneloch. Zraniteľnosti sa týkajú MSS (minimum segment size) a SACK (TCP Selective Acknowledgement) schopností. Najvážnejšia nazvaná “SACK Panic” umožňuje na diaľku spustiť kernel panic na všetkých súčasných Linux kerneloch.
Zraniteľnosti a ich CVE:
1. CVE-2019-11477: SACK Panic (Linux >= 2.6.29).
2. CVE-2019-11478: SACK Slowness (Linux < 4.15) alebo Excess Resource Usage (všetky Linux verzie).
3. CVE-2019-5599: SACK Slowness (FreeBSD 12 using the RACK TCP Stack).
4: CVE-2019-11479: Excess Resource Consumption Due to Low MSS Values (všetky Linux verzie).
Linux sa nachádza nielen na serveroch, ale aj na rôzných iných zariadeniach. Nájdete ho napríklad v smart televízoroch, routeroch, termostatoch, sieťových kamerách a iných zariadeniach. Zneužitie zraniteľností je relatívne jednoduché, ale môže vážne narušiť fungovanie rôznych služieb. Informácie ako postupovať sú tu.
Ak sa čudujete prečo to oznámil zamestnanec služby Netflix, tak máme pre vás vysvetlenie. Netflix zamestnáva vo svojom security tíme špičkových ľudí, ktorí musia riešiť tie najkomplikovanejšie problémy. Dostať sa do ich tímu je nesmierne ťažké.
Obrázok: „Kernel panic“ by Peter A. Shevtsov, used under CC BY 2.0
