如何修復(fù)Linux內(nèi)核存在的TCP漏洞？

卡內(nèi)基梅隆大學(xué)的 CERT/CC 發(fā)出警告，稱 Linux 內(nèi)核 4.9 及更高版本中有一個 TCP 漏洞，該漏洞可使攻擊者通過極小流量對系統(tǒng)發(fā)動 DoS （Denial-of-Service，拒絕服務(wù)）攻擊。

該漏洞是由諾基亞貝爾實驗室支持的芬蘭阿爾托大學(xué)網(wǎng)絡(luò)部門的 Juha-Matti Tilli 發(fā)現(xiàn)的，目前已經(jīng)被編號為 CVE-2018-5390，并且被 Red Hat 稱為“SegmentSmack”。

CERT/CC 指出，由于漏洞，新版本 Linux 內(nèi)核可能被迫對每個傳入的數(shù)據(jù)包進行非常消耗資源的 tcp_collapse_ofo_queue() 和 tcp_prune_ofo_queue() 調(diào)用，這會導(dǎo)致受影響的系統(tǒng)上 CPU 變得飽和，從而產(chǎn)生 DoS 條件。

遠(yuǎn)程攻擊者可以以相對較小的傳入網(wǎng)絡(luò)流量帶寬通過在正在進行的 TCP 會話中發(fā)送特別修改的數(shù)據(jù)包來導(dǎo)致 DoS?！霸谧钤愀獾那闆r下，攻擊者可以僅使用小于 2kpps （每秒 2000 個數(shù)據(jù)包）的攻擊流量讓被害主機癱瘓”，Red Hat 解釋到：“四個流的攻擊結(jié)果可能看起來像是四核 CPU 完全飽和，并且網(wǎng)絡(luò)數(shù)據(jù)包處理被延遲?！?/p>

CERT/CC 列出了許多可能受到影響的網(wǎng)絡(luò)設(shè)備供應(yīng)商、PC 和服務(wù)器制造商、移動供應(yīng)商和操作系統(tǒng)制造商（具體列表），鑒于 Linux 的廣泛使用，該漏洞的影響范圍很大，包括從亞馬遜和 Apple 到 Ubuntu 和 ZyXEL 的每個供應(yīng)商。目前已確認(rèn)受影響的 Red Hat 系統(tǒng)包括RHEL 6 和 7、RHEL 7 for Real Time、RHEL 7 for ARM64、RHEL 7 for IBM POWER 和 RHEL Atomic Host。

Red Hat 表示，對于管理員來說，除了等待內(nèi)核修復(fù)，目前還沒有有效的解決方法或緩解措施。