Bug del Kernel: SACK
L’ufficio di sicurezza di Netflix, per mano di Jonathan Looney, ha pubblicato una serie di bug presenti nel kernel Linux piuttosto spiacevoli che riguardano il trasferimento via TCP, e in particolare la feature SACK (Selective ACK – conferma selettiva).
Ma cerchiamo di fare chiarezza: si può immaginare il trasferimento via TCP come la trasmissione di un libro pagina dopo pagina; l’invio, però, avviene a gruppi, ed il numero di pagine per ogni gruppo può variare durante il trasferimento; dopo ogni invio si aspetta risposta dall’altro capo per sapere qual è l’ultima pagina arrivata (ACK, conferma), e ricominciare l’invio dal gruppo immediatamente successivo a quella. La funzionalità SACK permette di sapere, dopo ogni trasmissione, quali pagine di un gruppo non siano arrivate, così da poter inviare nuovamente solo quelle, e non l’intero gruppo di pagine; questo rende -teoricamente- più efficiente il trasferimento.
Questa feature è disponibile dal kernel 2.6.29 (più di 10 anni fa), ed a quanto pare è sempre stata fallata; inoltre, la stessa problematica si riscontra anche nei kernel deii sistemi FreeBSD.
Usando ad arte le informazioni fornite durante la connessione e usate da SACK, un client remoto è in grado di occupare memoria e far rallentare l’intero sistema server; la cosa impressionante è che talvolta è possibile compromettere le informazioni tenute nel kernel al punto da scatenare un kernel panic, bloccando completamente il server. Come già detto, piuttosto spiacevole.
Il rischio reale risulta però piuttosto contenuto, in quanto solo i servizi direttamente esposti possono essere presi di mira; e qui il mondo può essere generalmente diviso due:
- casalingo, che non espone servizi (se non in casi particolari);
- enterprise, che espone servizi ma, tipicamente, attraverso altri apparati (bilanciatori, reverse proxy, firewall), quindi indirettamente.
Il problema è che, sicuramente, c’è tutta una zona grigia in queste due aree in cui sistemi Linux sono effettivamente esposti su Internet, così come -andando a guardare sotto il cofano- è possibile notare che gli stessi apparati hardware tendono a loro volta ad appoggiarsi a sistemi Linux/FreeBSD e, quindi, risultano comunque vulnerabili
Fortunatamente è presente una mitigation per ovviare al problema, disattivando a livello di kernel la funzionalità SACK:
echo 0 > /proc/sys/net/ipv4/tcp_sackOvviamente, ricordate anche di istruire la vostra distribuzione per applicare questa modifica al boot della macchina.
Ma. come spesso accade, la soluzione è sempre l’update del kernel, che -fortunatamente -per molti sistemi è già disponibile.
Aggiornare, aggiornare, aggiornare.
Fonte: https://www.miamammausalinux.org/2019/06/bug-del-kernel-sack/
Se vuoi sostenerci, puoi farlo acquistando qualsiasi cosa dai diversi link di affiliazione che abbiamo nel nostro sito o partendo da qui oppure alcune di queste distribuzioni GNU/Linux che sono disponibili sul nostro negozio online, quelle mancanti possono essere comunque richieste, e su cui trovi anche PC, NAS e il ns ServerOne. Se ti senti generoso, puoi anche donarmi solo 1€ o più se vuoi con PayPal e aiutarmi a continuare a pubblicare più contenuti come questo. Grazie!
Hai dubbi o problemi? Ti aiutiamo noi!
Se vuoi rimanere sempre aggiornato, iscriviti al nostro canale Telegram.Se vuoi ricevere supporto per qualsiasi dubbio o problema, iscriviti alla nostra community Facebook o gruppo Telegram.
Cosa ne pensi? Fateci sapere i vostri pensieri nei commenti qui sotto.
Ti piace quello che leggi? Per favore condividilo con gli altri.
