Sasha Levin fra NVIDIA, som arbejder med vedligeholdelse af LTS-grene af Linux-kernen og er medlem af rådgivningsudvalget for Linux Foundation, har forberedt et sæt patches til implementeringen af mekanismen killswitch for Linux-kernen. Den foreslåede mulighed tillader øjeblikkelig deaktivering af adgangen til en bestemt funktionalitet i den kørende kerne. Det antages, at killswitch vil være nyttig til midlertidig blokering af sårbarheder indtil opdatering af kernen med en løsning.
Styring af killswitch sker via filen "/sys/kernel/security/killswitch/control", som gør det muligt at konfigurere opfangning af opkald til kernefunktioner baseret på deres navne. For eksempel, for at blokere sårbarheden Copy Fail, er det tilstrækkeligt at skrive kommandoen "engage af_alg_sendmsg -1" i kontrolfilen for at aktivere opfangning af funktionen af_alg_sendmsg og i stedet for dens udførelse returnere fejlkoden "-1".
Som navne kan der bruges vilkårlige tegn, der understøttes af kprobes-subsystemet. Mange af de nyligt opdagede alvorlige sårbarheder i kernen findes i subsystemer, der bruges af relativt få brugere (f.eks. AF_ALG, ksmbd, nf_tables, vsock, ax25). For de fleste brugere er besværet ved at forstyrre funktionen af enkelte funktioner uforholdsmæssigt lavt sammenlignet med risikoen ved at arbejde med en kerne med en kendt, udbedret sårbarhed, indtil der anvendes en patch. Killswitch-mekanismen er især relevant i lyset af den nuværende Dirty Frag-sårbarhed, hvor et exploit blev offentliggjort før problemet blev rettet i kernen.
Kilde: opennet.ru
