Linux: une faille dans TCP permet à des hackers de détourner le trafic Internet et d'injecter un malware à distance

Le protocole TCP "Transmission Control Protocol" qui est utilisé dans tous les systèmes Linux déployés depuis 2012 (version 3,6 et supérieur du noyau de Linux) constitue un danger pour les internautes, s'ils emploient Linux tel quel.

Ce problème est troublant car Linux est largement utilisé à travers l'Internet, via les serveurs web pour les smartphones Android, tablettes et téléviseurs intelligents.

Les chercheurs ont découvert une faille Internet grave, qui si elle est exploitée, pourrait permettre à des attaquants de mettre fin ou d'injecter des logiciels malveillants via la communication non chiffrée entre deux machines vulnérables sur Internet.

Cette vulnérabilité pourrait également être utilisée pour stopper des connexions cryptées HTTPS et déclasser la confidentialité des connexions sécurisées, elle menace également l'anonymat des utilisateurs de Tor en les acheminant vers certains relais malveillants.

La faille réside en fait dans la conception et la mise en œuvre du Request for Comments: 5961 ( RFC 5961 ) -une nouvelle norme Internet qui est conçu pour rendre le couramment utilisé TCP plus robuste contre les attaques de piratage.

Le protocole TCP est le cœur de toutes les communications Internet, comme tous les protocoles de niveau d'application, y compris HTTP, FTP, SSH, Telnet, DNS et SMTP.

Les serveurs Web et d'autres applications utilisent le protocole TCP pour établir des connexions entre les hôtes pour transférer des données entre eux.

Une équipe de six chercheurs en sécurité de l'Université de Californie, Riverside et de l'US Army Research Laboratory a démontré via un proof-of-concept exploit au Symposium de sécurité USENIX qui peut être utilisé pour détecter si deux hôtes communiquent sur TCP et finalement, attaquent ce trafic.

En général, le protocole TCP assemble des messages en une série de paquets de données qui sont identifiés par des numéros de séquence unique et transmise au récepteur. Lors de la réception, les paquets de données sont ensuite réassemblés par le récepteur dans le message d'origine.

Les chercheurs ont constaté que l'attaque latérale des canaux permet aux pirates de deviner les numéros de séquence des paquets TCP avec précision dans les 10 premières secondes de l'attaque, cela en utilisant seulement les adresses IP des deux parties.

Cela signifie, qu'un attaquant avec l'adresse IP usurpée n'a pas besoin d'une position man-in-the-middle (MITM), pour intercepter et injecter des paquets TCP malveillants entre deux machines arbitraires sur Internet.

Les chercheurs ont détaillé leurs conclusions dans le document intitulé 'Off-Path TCP Exploits: Global Rate Limit Considered Dangerous'(PDF ci-dessous), qu'ils ont présenté lors de la conférence, montrant au public comment ils ont injecté une forme de phishing à l'intérieur du site USA Today.

Le ciblage du réseau Tor

Les chercheurs montrent également comment la faille ( CVE-2016-5696 ) peut être exploitée pour casser les connexions sécurisées Shell (SSH) et altérer les communications cryptées qui transite sur le réseau d'anonymat Tor.

    «En général, nous pensons qu'une attaque DoS [Denial of Service] contre les connexions Tor peut avoir un effet dévastateur tant sur la disponibilité du service dans son ensemble que sur la garantit de protection de la vie privée qu'il peut fournir," est-il écrit.

    "La politique par défaut dans Tor est que si une connexion est en panne entre deux noeuds relais, par exemple un relais intermédiaire et un relais de sortie, le relais du milieu prend un relais de sortie différent pour établir la connexion suivante. Si un attaquant peut dicter quelles connexions sont down (via des attaques de remise à zéro), alors l'attaquant peut potentiellement forcer l'utilisation de certains relais de sortie ".

L'équipe a également formulé des recommandations sur la façon d'atténuer l'attaque.

Voici comment atténuer l'attaque de TCP

Bien que les correctifs pour corriger la vulnérabilité sont élaborés et distribués pour le noyau Linux actuel, comme une solution de contournement, vous pouvez augmenter la limite de taux de ACK sur votre machine Linux de sorte qu'il ne puisse pas être atteint.

Pour cela, vous devez ajouter à /etc/sysctl.conf:

        net.ipv4.tcp_challenge_ack_limit = 999999999

Une fois cela fait, utilisez sysctl -p pour activer la nouvelle règle. Vous devez être en root pour faire ceci.

Les chercheurs notent également que tandis que la version Linux 3.6 et supérieur sont vulnérables à cette attaque, Windows, OS X et FreeBSD ne sont pas considérées comme vulnérables parce qu'ils n'ont pas encore pleinement mis en œuvre la RFC 5961.

Source: Thehackernews

Comments

[peter]

tres bon article.