Sicherheitslücke in TCP

[asg]

Wie das National Infrastructure Security Coordination Centre (NISCC) mitteilt, gibt es eine Sicherheitslücke in der Standard-konformen Implementierungen von TCP ("Transmission Control Protocol").


Betroffen
Alle Systeme die eine TCP-Implementierung nach den Spezifikationen der Internet Engineering Task Force, von RFC 793 und RFC 1323 aufweisen.

Welche Gefahr besteht?
Es kann zu einem Denial-of-Service-Angriffe auf dem entsprechenden System kommen. Die Gefahr steigt mit der Dauer der TCP Verbindung.
Besonders gefährdet sei das Border Gateway Protocol (BGP), sowie Domain Name System (DNS) aber auch Verbindungen über Secure Sockets Layer (SSL).
Theoretisch besteht die Möglichkeit dass Angreifer eigenen Code einschleusen. Praktisch wurde dies aber bisher noch nicht umgesetzt.

Abhilfe?
Kabel ziehen.
Ansonsten gibt es bisher noch keine patches für das Problem. Nutzer von Routern die BGP einsetzen, sollten auf die gesicherte BGP Variante nach RFC 2385 ausweichen.

Mehr Informationen
http://www.osvdb.org/displayvuln.php?osvdb_id=4030

FreeBSD spezifische Informationen
In der mailingliste "security":
http://docs.freebsd.org/mail/current/freebsd-security.html
http://www.freebsd.org/mail

 

[Doomshammer]

BGP wird vermutlich das einzige interessante Ziel hier sein. Daher sehe ich da nicht so das grosse Problem. Die meisten Protokolle und Programme sind resistent gegen TCP-Verbindungsabbrueche. I. d. R haben sie auch keine solche DoS-Anfaelligkeit wie z. B. BGP.

 

[megamimi]

hi,

ich verstehe nicht ganz wieso eine Gefahr für das DNS bestehen soll. Das benutzt doch gar kein TCP sondern UDP oder liege ich da falsch...

cu mimi

 

[asg]

DNS kann auch TCP benutzen...

 

[sewin]

ich dachte allerdings nur für den austausch der dns-datenbanken. also dns-(root)server die sich gegenseitg syncen. aber eine dns-anfrage läuft doch über udp. oder ????

 

[Rookie]

Soweit ich weiss kann auch bei dns-anfragen TCP verwendet werden wenn die Datenmenge für ein UDP Packet zu groß ist. Bei einzelnen anfragen wird aber UDP genommen.

Rookie