Vývojáři distribuce Rocky Linux, zaměřené na vytvoření svobodné verze RHEL, která by mohla nahradit klasický CentOS, oznámili založení nové SIG skupiny (Special Interest Group) pro bezpečnost, která se bude zabývat udržováním balíčků souvisejících s poskytováním pokročilé ochrany a dodáváním dalších nástrojů pro zajištění bezpečnosti. Skupina také bude publikovat alternativní verze stávajících balíčků, sestavených s různými mechanismy pro zvýšení bezpečnosti nebo odstranění zranitelností, které zůstávají neopravné v RHEL a CentOS Stream.
Rozvíjené projekty budou publikovány v samostatném repozitáři, který bude možné použít i v jiných distribucích kompatibilních s red Hat Enterprise Linux. Pro připojení repozitáře v Rocky Linuxu již lze použít příkaz „dnf install rocky-release-security“. V současnosti repozitář nabízí následující balíčky:
- Modul jádra LKRG (Linux Kernel Runtime Guard), určený k odhalování a blokování útoků a narušení integrity struktur jádra (například modul může chránit před neoprávněnými změnami v běžícím jádře a pokusy o změnu oprávnění uživatelských procesů). Balíček je sestaven pro verze RHEL8 a RHEL9.
- Nástroj passwdqc pro kontrolu složitosti hesel a frází, zahrnující modul pam_passwdqc, programy pwqcheck, pwqfilter a pwqgen, a také knihovnu libpasswdqc. Balíček je sestaven pro verzi RHEL9.
- Balíček s Glibc, zahrnující změny pro zvýšení bezpečnosti, vyvinuté projektem Owl a aplikované v ALT Linux. Balíček také obsahuje opravy, které blokují dvě zranitelnosti: zranitelnost v ld.so (CVE-2023-4911), která umožňuje místnímu uživateli zvýšit si oprávnění v systému pomocí speciálně formátovaných dat v proměnné prostředí GLIBC_TUNABLES, a zranitelnost (CVE-2023-4527) ve funkci getaddrinfo, která může vést k úniku dat ze zásobníku nebo k havárii. Balíček je sestaven pro verzi RHEL9.
- Balíček s OpenSSH, ve kterém je sshd spojen s menším počtem sdílených knihoven. Balíček je sestaven pro verzi RHEL9.
- Související balíčky: pam_ssh_agent_auth, libnsl, nscd, nss_db, nss_hesiod.
Zdroj: opennet.ru
