8/12/2016

LinuxカーネルのTCPスタックに脆弱性

8月10日に開催されたUSENIXセキュリティ会議で、Linuxカーネル(3.6から4.6)のTCPスタックの実装に脆弱性(CVE-2016-5696)があることが発表された(論文)。Linuxカーネル3.6で追加されたRFC 5961(Blind In-Window攻撃に対するTCPの堅牢性の改善)のchallenge ACKカウンタの実装に問題があるため、TCPストリームのインジェクションやコントロールが可能で、具体的にはHTTPSやTorのような暗号通信の解読やクラッシュができる。恒久対応は修正したカーネル(4.7)に置き換えることになるが、それまではtcp_challenge_ack_limitを大きな数値に変更する手がある(Akamai blog)。

sysctl net.ipv4.tcp_challenge_ack_limit=1073741823; grep -q
tcp_challenge_ack_limit /etc/sysctl.conf || echo
"net.ipv4.tcp_challenge_ack_limit=1073741823" >> /etc/sysctl.conf

SoftpediaRed Hatars technicaスラド