Projekt Openwall vydání jádrového modulu (Linux Kernel Runtime Guard), který zajišťuje detekci neoprávněných změn v běžícím jádru (kontrola integrity) nebo pokusy o změnu oprávnění uživatelských procesů (určení aplikace exploitů). Modul je vhodný jak k organizaci ochrany proti již známým exploitům pro jádro Linux (například v situacích, kdy je problematické v systému aktualizovat jádro), tak k odolávání exploitům pro ještě neznámé zranitelnosti. O zvláštnostech LKRG se můžete dočíst v .
Mezi změnami v nové verzi:
- Byl proveden refactoring kódu pro zajištění podpory různých architektur CPU. Přidána počáteční podpora architektury ARM64;
- Zajištěna kompatibilita s jádry Linux 5.1 a 5.2, stejně jako jádry sestavenými bez zahrnutí při sestavení jádra možností CONFIG_DYNAMIC_DEBUG,
CONFIG_ACPI a CONFIG_STACKTRACE, a s jádry sestavenými s možností CONFIG_STATIC_USERMODEHELPER. Přidána experimentální podpora jader z projektu grsecurity; - Logika inicializace byla významně změněna;
- V subsystému kontroly integrity bylo znovu aktivováno samohashování (self-hashing) a odstraněn stav závodu v enginu štítků přechodu (*_JUMP_LABEL), což vedlo k vzájemnému blokování při inicializaci současně s událostmi načítání nebo uvolňování dalších modulů;
- V kódu pro určení aplikace exploitů byly přidány nové sysctl lkrg.smep_panic (ve výchozím nastavení zapnuto) a lkrg.umh_lock (ve výchozím nastavení vypnuto), přidány další kontroly bitu SMEP/WP, změněna logika sledování nových úloh v systému, přepracována vnitřní logika synchronizace s prostředky úloh, přidána podpora OverlayFS, zařazeno do bílého seznamu Ubuntu Apport.
Zdroj: opennet.ru
