Sasha Levin ze společnosti NVIDIA, který se zabývá údržbou LTS větví jádra Linux a je členem poradního výboru organizace Linux Foundation, připravil sadu patchů s realizací mechanismu killswitch pro jádro Linux. Navrhovaná možnost umožňuje okamžitě vypnout přístup k určité funkčnosti běžícího jádra. Předpokládá se, že killswitch bude užitečný pro dočasné zablokování zranitelností do doby, než bude nainstalováno jádrové aktualizace s opravou.
Správa killswitch se provádí prostřednictvím souboru "/sys/kernel/security/killswitch/control", který umožňuje nastavit odchytávání volání funkcí jádra podle jejich názvů. Například pro zablokování zranitelnosti Copy Fail stačí zapsat do řídícího souboru příkaz "engage af_alg_sendmsg -1" pro aktivaci odchytu volání funkce af_alg_sendmsg a místo jejího provedení vrátit chybový kód "-1".
Jako názvy mohou být použity jakékoli znaky podporované subsystémem kprobes. Mnoho z nedávno objevených závažných zranitelností v jádře se nachází v subsystémech, které používá relativně malé množství uživatelů (například AF_ALG, ksmbd, nf_tables, vsock, ax25). Pro většinu uživatelů je nepříjemnost způsobená ukončením funkčnosti jednotlivých funkcí nesrovnatelná s rizikem používání jádra s známou neopravenu zranitelností do doby, než bude oprava nainstalována. Mechanismus killswitch je obzvlášť aktuální v kontextu nedávné zranitelnosti Dirty Frag, exploit pro kterou byl publikován dříve, než byl problém odstraněn v jádře.
Zdroj: opennet.ru
