近日，業(yè)內(nèi)發(fā)布安全公告，Linux 內(nèi)核在處理 TCP SACK(Selective Acknowledgement)時存在三個漏洞(CVE-2019-11477、CVE-2019-11478、CVE-2019-11479)，攻擊者可通過該漏洞遠(yuǎn)程發(fā)送攻擊包造成拒絕服務(wù)攻擊，影響程度嚴(yán)重。

影響范圍：
該漏洞目前已知影響使用 Linux 內(nèi)核 2.6.29 及以上版本的發(fā)行版，包括（但不限于）如下系統(tǒng)：
CentOS 5/CentOS 6/CentOS 7
Ubuntu 16.04 LTS/Ubuntu 18.04 LTS
Debian jessie/stretch/buster

修復(fù)辦法：
1. 禁用 TCP SACK 及 mtu_probing 機(jī)制功能，執(zhí)行如下命令：
echo 0 > /proc/sys/net/ipv4/tcp_sack
sysctl -w net.ipv4.tcp_sack=0
echo 0 > /proc/sys/net/ipv4/tcp_mtu_probing
sysctl net.ipv4.tcp_mtu_probing
iptables -A INPUT -p tcp -m tcpmss –mss 1:500 -j DROP

2. 升級 Linux 安全補(bǔ)丁(需要重啟服務(wù)器)
Centos：yum update kernel
Ubuntu：apt-get update && sudo apt-get install linux-image-generic

注意：
以上修復(fù)方式，請在操作前評估對業(yè)務(wù)可用性的影響

參考資料：
[Netflix 通告] (https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md)
[RedHat 通告] (https://access.redhat.com/security/vulnerabilities/tcpsack)
[Canonical 通告] (https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SACKPanic)