Eine Schwachstelle im Linux-Kernel ermöglicht das Umgehen der Lockdown-Modi-Beschränkungen.

Im Linux-Kernel wurde eine Schwachstelle (CVE-2022-21505) entdeckt, die es ermöglicht, den Lockdown-Schutzmechanismus zu umgehen, der den Root-Zugang zum Kernel einschränkt und Umgehungen von UEFI Secure Boot blockiert. Zum Umgehen wird vorgeschlagen, die IMA (Integrity Measurement Architecture)-Subsystem des Kernels zu verwenden, die zur Überprüfung der Integrität von Betriebssystemkomponenten mittels digitaler Signaturen und Hashes dient.

Im Lockdown-Modus wird der Zugriff auf /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, den Kprobes-Debugging-Modus, mmiotrace, tracefs, BPF, das PCMCIA CIS (Card Information Structure), einige ACPI-Schnittstellen und CPU-MSR-Register eingeschränkt, kexec_file- und kexec_load-Aufrufe werden blockiert, der Ruhezustand wird verboten, die Verwendung von DMA für PCI-Geräte wird begrenzt, der Import von ACPI-Code aus EFI-Variablen ist nicht erlaubt und Manipulationen mit Ein-/Ausgabe-Ports, einschließlich der Änderung der Interrupt-Nummer und des Ein-/Ausgabe-Ports für serielle Ports, sind nicht zulässig.

Das Problem der Sicherheitsanfälligkeit besteht darin, dass bei Verwendung des Bootparameters „ima_appraise=log“ der Aufruf von kexec zulässig ist, um eine neue Version des Kernels zu starten, sofern der Secure Boot-Modus nicht aktiviert ist und der Lockdown-Modus unabhängig davon verwendet wird. IMA lässt die Aktivierung des „ima_appraise“-Modus bei aktivem Secure Boot nicht zu, beachtet jedoch nicht die Möglichkeit, Lockdown unabhängig von Secure Boot zu nutzen.

Quelle: opennet.ru