web-dev-qa-db-ja.com

RFC 5961 Linux TCPの問題の回避策はありますか？

最近読んだ this Linux TCPの欠陥（- CVE-2016-5696 ） （たとえば、Webサーバーとクライアント）。この問題はLinuxカーネルバージョン3.6で2012年に導入されたものであり、すべての新しいバージョンにも影響することを理解しています。

現在、これに対する修正はリリースされていません（この記事の執筆時点では）が、これは非常に大きなバグであるため、回避策はありますか？

networkingserverkernelsecurityclient
28
user364819

注：回避策セクションは歴史的な理由から保持されていますが、以下の修正セクションまでスキップしてください。

回避策：

述べたように ここ ：

良いニュース-そして、はい、良いニュースがあります-それは修正が簡単です。第一に、Linux自体にパッチが適用され、攻撃経路を阻止しています。次に、「チャレンジACK制限」を非常に大きな値に上げるだけで、攻撃を有効にした サイドチャネル 問題を悪用することが事実上不可能になります。

この問題はクライアントとサーバーの両方、または実際にはネットワークを介して通信する2台のLinuxマシンの両方に影響するため、両方に回避策を実装し、リリース後すぐに修正することが重要です。

回避策を実装するには、次の手順を実行します。

  1. sudoedit /etc/sysctl.confで設定ファイルを開きます
  2. 行net.ipv4.tcp_challenge_ack_limit = 999999999をファイルに挿入して保存します
  3. Sudo sysctl -pを実行して構成を更新します

ターミナルから直接操作を行うこともできます。

Sudo bash -c 'echo "net.ipv4.tcp_challenge_ack_limit = 999999999" >>/etc/sysctl.conf'

または：

echo 'net.ipv4.tcp_challenge_ack_limit = 999999999' | Sudo tee -a /etc/sysctl.conf

次に実行します：

Sudo sysctl -p

修正：

述べたように ここ ：

net/ipv4/tcp_input.c in the Linux kernel before 4.7 does not properly
determine the rate of challenge ACK segments, which makes it easier for
man-in-the-middle attackers to Hijack TCP sessions via a blind in-window
attack.
...
sbeattie> fix is going to land in Ubuntu kernels in this SRU cycle,  
with a likely release date of Aug 27. Earlier access to the kernels  
with the fix will be available from the -proposed pocket, though they 
come with the risk of being less tested.

そして、修正がリリースされました。

linux (4.4.0-36.55) xenial; urgency=low

  [ Stefan Bader ]

  * Release Tracking Bug
    - LP: #1612305

  * I2C touchpad does not work on AMD platform (LP: #1612006)
    - SAUCE: pinctrl/AMD: Remove the default de-bounce time

  * CVE-2016-5696
    - tcp: make challenge acks less predictable

 -- Stefan Bader <[email protected]>  Thu, 11 Aug 2016 17:34:14 +0200

実行：

Sudo apt-get update
Sudo apt-get dist-upgrade

最新バージョンを使用していることを確認します。または、GUIを使用して更新する場合は、Software Updaterを使用します。

実行しているバージョンと使用可能なバージョンを確認するには、次のコマンドを使用します。

apt-cache policy linux-image-generic
29
user364819