关于Linux TCP "SACK PANIC" 远程拒绝服务漏洞的修复

Linux 内核被曝存在TCP “SACK PANIC” 远程拒绝服务漏洞（漏洞编号：CVE-2019-11477,CVE-2019-11478,CVE-2019-11479），攻击者可利用该漏洞远程攻击目标服务器，导致系统崩溃或无法提供服务

漏洞详情

近日，腾讯云安全中心情报平台监测到 Netflix 信息安全团队研究员Jonathan Looney发现 Linux 以及 FreeBSD 等系统内核上存在严重远程DoS漏洞，攻击者可利用该漏洞构造并发送特定的 SACK 序列请求到目标服务器导致服务器崩溃或拒绝服务。

影响版本

目前已知受影响版本如下：

FreeBSD 12（使用到 RACK TCP 协议栈）
CentOS 5（Redhat 官方已停止支持，不再提供补丁）
CentOS 6
CentOS 7
Ubuntu 18.04 LTS
Ubuntu 16.04 LTS
Ubuntu 19.04
Ubuntu 18.10

安全版本

各大Linux发行厂商已发布内核修复补丁，没漏洞的内核版本如下：

CentOS 6 ：2.6.32-754.15.3
CentOS 7 ：3.10.0-957.21.3
Ubuntu 18.04 LTS：4.15.0-52.56
Ubuntu 16.04 LTS：4.4.0-151.178

修复方法

请参照上述【安全版本】升级您的 Linux 服务器内核，参考操作如下：

CentOS

推荐方案：【CentOS 6/7 系列用户】

yum clean all && yum makecache ，进行软件源更新；
yum update kernel -y ，更新当前内核版本;
reboot ，更新后重启系统生效;
uname -a ，检查当前版本是否为上述【安全版本】，如果是，则说明修复成功。

Ubuntu

推荐方案：【Ubuntu 16.04/18.04 LTS 系列用户】

sudo apt-get update && sudo apt-get install linux-image-generic ，进行软件源更新并安装最新内核版本；
sudo reboot ，更新后重启系统生效；
uname -a ，检查当前版本是否为【安全版本】，如果是，则说明修复成功。

Temp

临时缓解方案：如用户不方便重启进行内核补丁更新，可选择如下方式禁用内核 SACK配置防范漏洞利用（可能会对网络性能产生一定影响），运行如下命令即可：

echo 'net.ipv4.tcp_sack = 0' >> /etc/sysctl.conf ，禁用 SACK 配置；
sysctl -p ，重载配置，使其生效。

参考

官方通告：https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md
社区参考：https://www.openwall.com/lists/oss-security/2019/06/17/5
红帽公告：https://access.redhat.com/security/vulnerabilities/tcpsack
腾讯公告：https://cloud.tencent.com/announce/detail/622

附录

我服务器是CentOS，所以以其为示例：

# 进行软件源更新
[root@VM_0_3_centos ~]# yum clean all && yum makecache
Loaded plugins: fastestmirror, langpacks
Cleaning repos: epel extras librehat-shadowsocks os updates
Cleaning up list of fastest mirrors
Loaded plugins: fastestmirror, langpacks
Determining fastest mirrors
epel                                                                                                                                | 5.3 kB  00:00:00
extras                                                                                                                              | 3.4 kB  00:00:00
librehat-shadowsocks                                                                                                                | 3.0 kB  00:00:00
os                                                                                                                                  | 3.6 kB  00:00:00
updates                                                                                                                             | 3.4 kB  00:00:00
(1/22): epel/7/x86_64/group_gz                                                                                                      |  88 kB  00:00:01
(2/22): epel/7/x86_64/updateinfo                                                                                                    | 978 kB  00:00:01
(3/22): epel/7/x86_64/prestodelta                                                                                                   |  717 B  00:00:00
(4/22): epel/7/x86_64/filelists_db                                                                                                  |  11 MB  00:00:06
(5/22): epel/7/x86_64/primary_db                                                                                                    | 6.8 MB  00:00:15
(6/22): epel/7/x86_64/updateinfo_zck                                                                                                | 1.4 MB  00:00:00
(6/22): epel/7/x86_64/updateinfo_zck                                                                                                | 1.4 MB  00:00:00
(6/22): epel/7/x86_64/updateinfo_zck                                                                                                | 1.4 MB  00:00:00
(6/22): epel/7/x86_64/updateinfo_zck                                                                                                | 1.4 MB  00:00:00
(6/22): epel/7/x86_64/updateinfo_zck                                                                                                | 1.4 MB  00:00:00
(7/22): extras/7/x86_64/prestodelta                                                                                                 |  65 kB  00:00:01
(8/22): extras/7/x86_64/primary_db                                                                                                  | 205 kB  00:00:01
(9/22): extras/7/x86_64/other_db                                                                                                    | 127 kB  00:00:00
(10/22): librehat-shadowsocks/x86_64/filelists_db                                                                                   |  17 kB  00:00:00
(11/22): librehat-shadowsocks/x86_64/primary_db                                                                                     |  23 kB  00:00:00
(12/22): librehat-shadowsocks/x86_64/other_db                                                                                       |  10 kB  00:00:00
(13/22): os/7/x86_64/group_gz                                                                                                       | 166 kB  00:00:00
(14/22): os/7/x86_64/primary_db                                                                                                     | 6.0 MB  00:00:03
(15/22): os/7/x86_64/filelists_db                                                                                                   | 7.1 MB  00:00:05
(16/22): os/7/x86_64/other_db                                                                                                       | 2.6 MB  00:00:00
(17/22): updates/7/x86_64/prestodelta                                                                                               | 797 kB  00:00:00
(18/22): updates/7/x86_64/primary_db                                                                                                | 6.4 MB  00:00:01
(19/22): updates/7/x86_64/other_db                                                                                                  | 641 kB  00:00:00
(20/22): updates/7/x86_64/filelists_db                                                                                              | 4.4 MB  00:00:05
epel/7/x86_64/other_db
http://mirrors.tencentyun.com/epel/7/x86_64/repodata/24838144a5b86bb0cd90b22255258aeed11691115ae3c35463e471cbae0f2ab9-other.sqlite.bz2: [Errno 12] Timeout on http://mirrors.tencentyun.com/epel/7/x86_64/repodata/24838144a5b86bb0cd90b22255258aeed11691115ae3c35463e471cbae0f2ab9-other.sqlite.bz2: (28, 'Operation too slow. Less than 1000 bytes/sec transferred the last 30 seconds')
Trying other mirror.
(21/22): extras/7/x86_64/filelists_db                                                                                              | 246 kB  00:00:26
(22/22): epel/7/x86_64/other_db                                                                                                    | 3.2 MB  00:00:12
Metadata Cache Created

# 更新内核
[root@VM_0_3_centos ~]# yum update kernel  -y
Loaded plugins: fastestmirror, langpacks
Loading mirror speeds from cached hostfile
Resolving Dependencies
--> Running transaction check
---> Package kernel.x86_64 0:3.10.0-957.21.3.el7 will be installed
--> Finished Dependency Resolution

Dependencies Resolved

=======================================================================================================================================================================
 Package                                        Arch                                           Version                                                      Repository                                       Size
=======================================================================================================================================================================
Installing:
 kernel                                         x86_64                                         3.10.0-957.21.3.el7                                          updates                                          48 M

Transaction Summary
=======================================================================================================================================================================
Install  1 Package

Total download size: 48 M
Installed size: 63 M
Downloading packages:
Delta RPMs disabled because /usr/bin/applydeltarpm not installed.
kernel-3.10.0-957.21.3.el7.x86_64.rpm                                                          |  48 MB  00:00:11
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
  Installing : kernel-3.10.0-957.21.3.el7.x86_64                                                1/1 
  Verifying  : kernel-3.10.0-957.21.3.el7.x86_64                                                1/1 

Installed:
  kernel.x86_64 0:3.10.0-957.21.3.el7

Complete!

# 重启
[root@VM_0_3_centos ~]# reboot

# 查看内核版本是否为最新的`3.10.0-957.21.3`
[root@VM_0_3_centos ~]# uname -a
Linux VM_0_3_centos 3.10.0-957.21.3.el7.x86_64 #1 SMP Tue Jun 18 16:35:19 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux

作者：毒逆天

出处：https://www.cnblogs.com/dotnetcrazy

打赏：

18i4JpL6g54yAPAefdtgqwRrZ43YJwAV5z

本文版权归作者和博客园共有。欢迎转载，但必须保留此段声明，且在文章页面明显位置给出原文连接！

关于Linux TCP "SACK PANIC" 远程拒绝服务漏洞的修复

漏洞详情

影响版本

安全版本

修复方法

CentOS

Ubuntu

Temp

参考

附录

继续阅读

Apache (You don't have permission to access / on this server.）

debian9升级4.9.0内核到4.19.2内核过程

centOS7 配置 vsftpd 虚拟用户及权限Vsftpd配置虚拟用户及权限

linux-svn卸载与安装

vsftp虚拟多用户多权限一键部署脚本

Ubuntu14.04 LTS下安装mongodb

Nginx服务优化（1）——隐藏版本号、修改用户与组、网页缓存时间、日志切割、连接超时一、隐藏版本号二、修改用户与组三、配置Nginx网页缓存时间四、实现Nginx日志分割五、配置Nginx实现连接超时六、补充关于时间日期的命令

httpd服务的部署、启动、配置和简单优化一、部署二、启动三、配置文件

配置网页内容访问

手动安装Intel network I217-LM网卡的Linux驱动

禁止ubuntu系统弹出报错界面

Ubuntu Linux下Apache的配置文件

samba服务器的功能

【Linux】UDP广播报文接收速率问题

Linux设备模型（中）之上层容器

PowerPC平台 Linux移植三