20.08.2018 16:23
DoS-Schwachstelle im Kernel - keine Panik!
In der Nacht auf heute wurde eine Schwachstelle im Linux Kernel bekannt, die einen DoS-Angriff durch spezielle TCP-Pakete ermöglicht:
Linux kernel versions 4.9+ can be forced to make very expensive calls to tcp_collapse_ofo_queue() and tcp_prune_ofo_queue() for every incoming packet which can lead to a denial of service. An attacker can induce a denial of service condition by sending specially modified packets within ongoing TCP sessions.Auf den ersten Blick klingt das hochkritisch und stellt eine enorme Gefahr für Unternehmen dar, die Webauftritte und Mailserver auf Linux-Servern betreiben.Auf den zweiten Blick gibt es jedoch einige wichtige Einschränkungen, die das Risiko minimieren. Betroffen sind nur Linux-Distributionen, die auf Kernelversionen neuer als 4.9 aufsetzen. Weder Red Hat Enterprise Linux noch SUSE Linux (ausser die gerade veröffentlichte Version 15) sind verwundbar.Für die verwundbaren Distributionen Debian und Ubuntu (nur in Version 18.04, also dem letzten LTS-Release) gibt es bereits aktualisierte Kernelversionen in den Paketquellen.Weiters ist das Ausnützen der Schwachstelle nicht so trivial, wie es auf den ersten Blick erscheint. Auch wenn noch kein PoC-Code öffentlich verfügbar ist scheint es so, als ob zwar potentiell sehr geringe Trafficmengen ausreichend sind, aber die TCP-Verbindung gewisse Parameter erfüllen muss, die nicht bei jedem Service gegeben sind.Netzwerke, in denen die TCP-Verbindungen durch einen Loadbalancer terminiert werden mögen zwar in der Theorie verwundbar sein, werden aber durch eben jene Terminierung vor einer Ausnutzung geschützt.Zusammengefasst sollte man sich auf folgende Punkte konzentrieren:
- Die meisten Linuxdistributionen, die im Businessumfeld zu finden sind nutzen noch Kernelversionen <4.9 und sind dementsprechend nicht verwundbar.
- Eine vollständige TCP-Verbindung ist notwendig, dementsprechend ..
- .. ist IP-Spoofing unmöglich
- .. handelt es sich hier nicht um ein simples "Ping of Death"-Szenario
- .. müssen bestimmte Pakete vom Server zurückgeschickt werden, was die Anzahl an anfälligen Protokollen weiter reduziert.
- Es gibt noch keinen öffentlich verfügbaren PoC-Code, allerdings bereits Patches für alle grösseren Distributionen (bzw. Betriebssysteme; FreeBSD ist von einer nahezu identen Lücke betroffen)