预警编号：INSPUR-SA-201907-001
初始发布时间：2019-07-09 10:13:24
更新发布时间：2019-07-15 16:58:46
漏洞概述：
Netflix 信息安全团队研究员Jonathan Looney发现 Linux 以及 FreeBSD 等系统内核上存在严重远程DoS漏洞（CVE编号：CVE-2019-11477,CVE-2019-11478,CVE-2019-11479）。Linux 内核2.6.29及之后版本在处理TCP SACK机制时存在缺陷，导致整数溢出漏洞，攻击者可以构造特定的SACK包，远程触发Linux服务器内核模块溢出漏洞，导致目标服务器崩溃或服务不可用。
已完成修复的产品版本：
| 产品名称 |
受影响产品版本 |
修复补丁包/升级包版本 |
| ICOS |
ICOS 5.2.x
ICOS 5.5.x
ICOS 5.6.x |
Icos_Update_2019062601 |
| ICM |
ICM5.2
ICM5.6 |
Kernel-3.10.0-957-centos7.2 |
| ICS |
ICS 5.6 |
IncloudSphere-V5R06B08M002
IncloudSphere-V5R06B08S002 |
| AS13000 |
3.6.x.x
3.7.x.x < 3.7.4.3 |
Kernel-3.10.0-327.79.2
Kernel-3.10.0-693.50.3 |
| AS18000 |
3.x.x.x
5.0.3.x
5.0.4.x |
5.0.4.10及之后版本 |
影响后果：
攻击者通过构造特定的SACK包，远程触发Linux服务器内核模块溢出漏洞，导致目标服务器崩溃或服务不可用。
漏洞得分：
使用CVSSv3标准评分（https://www.first.org/cvss/calculator/3.0）
CVE-2019-11477：
CVSS Base Score: 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）
CVSS Temporal Score：6.7 (E:P/RL:O/RC:C)
CVE-2019-11478：
CVSS Base Score: 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）
CVSS Temporal Score：6.7 (E:P/RL:O/RC:C)
CVE-2019-11479：
CVSS Base Score: 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）
CVSS Temporal Score：6.7 (E:P/RL:O/RC:C)
技术细节：
1. 前提条件：
Linux 内核2.6.29及之后版本，启用SACK机制功能（默认开启）
2. 攻击步骤：
在某些场景下，攻击者可以构造特定的SACK包，远程触发Linux服务器内核模块溢出漏洞，导致目标服务器崩溃或服务不可用。
版本获取链接：
ICM、ICOS补丁包获取链接：https://www.inspur.com/eportal/ui?pageId=2252797
ICS、AS13000、AS180000产品，请用户直接联系支持人员获取补丁/更新版本，以及相关的技术协助。
规避措施：
一、禁用SACK机制功能，执行如下命令：
#echo 0 > /proc/sys/net/ipv4/tcp_sack
#sysctl -w net.ipv4.tcp_sack=0
二、使用过滤器来阻止攻击
参考链接：https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001/block-low-mss/README.md
此缓解需要禁用TCP探测时有效（即在/etc/sysctl.conf文件中将net.ipv4.tcp_mtu_probingsysctl设置为0）
漏洞来源：
外部公开披露
更新记录：
20190715-V1.1-Updated 更新已完成修复的产品版本
20190709-V1.0-Initial Release
FAQs：
无
浪潮安全应急响应对外服务：
浪潮安全应急响应对外服务：浪潮一贯主张尽全力保障产品用户的最终利益，遵循负责任的安全事件披露原则，并通过产品安全问题处理机制处理产品安全问题。
反馈浪潮产品和解决方案安全问题,请反馈至浪潮PSIRT邮箱sec@inspur.com，详情参考：https://www.inspur.com/lcjtww/2312126/2432763/index.html
需求工单
售前咨询
查找经销商
需求工单
售前咨询
查找经销商
