В ядре Linux обнаружена критическая уязвимость в обработке TCP-соединений по IPv4. Злоумышленник может удалённо и без пароля повредить память ядра, а в определённых условиях выполнить на сервере произвольный код с правами root. Рассказываем, как проверить сервер и защитить его.
Уязвимы ядра Linux начиная с версии 4.4. Ядра до версии 4.4, в том числе в CentOS 7, в безопасности.
Виртуальный хостинг HostflyЯдро на серверах виртуального хостинга мы обновляем сами, все работы выполняет наша команда.
Если у вас облачный сервер (VPS) или выделенный сервер
Сервер вы администрируете самостоятельно, так что обновление выполняете вы или ваш системный администратор. Рекомендуем сделать это сразу после выхода исправления для вашей системы. Исправленные версии ядра:
В дистрибутивах своя нумерация пакетов, так что ориентируйтесь на статус исправления для вашей системы на сайте производителя. Проверить версию ядра и системы можно командами:
uname -rcat /etc/os-releaseСтатус исправлений на 30 октября
Исправленные ядра уже выпущены:
Для Ubuntu, RHEL, AlmaLinux и CloudLinux исправления ожидаются. Следить за их выходом можно на страницах производителей:
Когда исправление для вашей системы выйдет, достаточно трёх шагов:
- Обновите пакет ядра.
- Перезагрузите сервер.
- Убедитесь, что загружено новое ядро, например командой
uname -r.
До выхода исправления
Риск можно снизить, отключив Multipath TCP (MPTCP):
sysctl -w net.mptcp.enabled=0sysctl -w net.ipv4.tcp_migrate_req=0Настройки действуют до перезагрузки. Они снижают риск, а полностью закрыть уязвимость позволяет только обновление ядра.
Проверить, есть ли в системе процессы, использующие сокеты с MPTCP, можно командами:
ip mptcp endpoint showip mptcp limits showss -MlnpПриложения на Go. В программах на Go поддержку MPTCP отключает флаг multipathtcp=0. Задать его можно через переменную окружения GODEBUG=multipathtcp=0 или на этапе сборки, добавив строку godebug multipathtcp=0 в файл go.mod. В коде приложения MPTCP отключается через функции net.Dialer.SetMultipathTCP и net.ListenConfig.SetMultipathTCP.
Если ОС снята с поддержки
Если производитель завершил поддержку вашей операционной системы, рекомендуем перейти на актуальную версию: исправления выходят только для поддерживаемых систем.
Мы на связи
Если нужна помощь с обновлением ядра на облачном или выделенном сервере или остались вопросы, напишите нам. Поддержка работает круглосуточно: support@hostfly.by, +375 17 336-73-73.
