Lỗ hổng bảo mật nghiêm trọng trên Linux kernel

Ngày 17/6/2019, một nhà nghiên cứu bảo mật đã phát hiện ra Lỗ hổng nghiêm trọng trên Linux kernel. Lỗ hổng được cho là cực kỳ nguy hiểm vì  kẻ tấn công có thể lợi dụng lỗ hổng này để có thể làm sập máy chủ, dẫn đến từ chối dịch vụ.
Hiện tại, ba  lỗ hổng này liên quan đến việc xử lý các gói tin TCP đã được tìm thấy trong Linux kernel.  
- CVE-2019-11477: Được đặt tên là SACK Panic, đây là lỗ hổng nghiêm trọng nhất ảnh hưởng đến các phiên bản Linux kernel trước ngày 17/06/2019. Có thể ảnh hưởng rất nhiều thiết bị, bao gồm server, điện thoại Android và các thiết bị nhúng. Chỉ cần gửi một TCP packet chứa mã khai thác là kẻ tấn công có thể gây ảnh hưởng hệ thống. Đặc biệt nghiêm trọng đối với hệ thống cung cấp dịch vụ public như Webserver, Mail Server…
- CVE-2019-11478: Được đặt tên là SACK Slowness, ảnh hưởng đến các phiên bản nhân Linux 4.15 trở xuống.
- CVE-2019-11479: Chỉ liên quan tới MSS

1. Cách kiểm tra hệ thống tồn tại lỗ hổng:

Download script ở địa chỉ: https://access.redhat.com/sites/default/files/cve-2019-11477–2019-06-17-1629.sh

2. Cách khắc phục lỗ hổng bảo mật CVE-2019-11477

2.1  Update phiên bản mới nhất.
2.2  Hướng xử lý
- Cách 1: Vô hiệu hóa SACK cho tất cả các kết nối TCP:
# echo 0 > /proc/sys/net/ipv4/tcp_sack
Hoặc
# echo 0 > /proc/sys/net/ipv4/tcp_sack
- Cách 2: Cấu hình tường lửa để ngăn kết nối mới với kích thước MSS thấp:
# firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p tcp --tcpflags SYN SYN -m tcpmss --mss 1:500 -j DROP
# firewall-cmd --permanent --direct --add-rule ipv6 filter INPUT 0 -p tcp --tcpflags SYN SYN -m tcpmss --mss 1:500 -j DROP
# firewall-cmd –reload
# firewall-cmd --permanent --direct --get-all-rules
Đối với Ipv6:
# iptables -I INPUT -p tcp --tcp-flags SYN SYN -m tcpmss --mss 1:500 -j DROP
# ip6tables -I INPUT -p tcp --tcp-flags SYN SYN -m tcpmss --mss 1:500 -j
DROP
# iptables -nL -v
# ip6tables -nL -v