Sasha Levin von NVIDIA, der sich mit der Pflege der LTS-Zweige des Linux-Kernels beschĂ€ftigt und im Beratungsgremium der Linux Foundation sitzt, hat ein Set von Patches vorbereitet, die die Implementierung eines Killswitch-Mechanismus fĂŒr den Linux-Kernel ermöglichen. Die vorgeschlagene Funktion erlaubt es, den Zugriff auf bestimmte Funktionen des laufenden Kernels sofort zu deaktivieren. Der Killswitch soll nĂŒtzlich sein, um Schwachstellen vorĂŒbergehend zu blockieren, bis ein Kernel-Update mit einem Fix installiert ist.
Die Steuerung des Killswitch erfolgt ĂŒber die Datei «/sys/kernel/security/killswitch/control», die es ermöglicht, den Zugriff auf Kernel-Funktionen nach ihren Namen abzufangen. Zum Beispiel reicht es aus, den Befehl «engage af_alg_sendmsg -1» in die Steuerdatei zu schreiben, um den Aufruf der Funktion af_alg_sendmsg abzufangen und anstelle ihrer AusfĂŒhrung den Fehlercode «-1» zurĂŒckzugeben.
Als Namen können beliebige Zeichen verwendet werden, die von der kprobes-Subsystem unterstĂŒtzt werden. Viele der kĂŒrzlich im Kernel gefundenen schwerwiegenden Schwachstellen befinden sich in Subsystemen, die von vergleichsweise wenigen Nutzern verwendet werden (z. B. AF_ALG, ksmbd, nf_tables, vsock, ax25). FĂŒr die meisten Benutzer ist die Unannehmlichkeit durch die Deaktivierung einzelner Funktionen nicht vergleichbar mit dem Risiko, mit einem Kernel zu arbeiten, der eine bekannte ungepatchte Schwachstelle hat, bis ein Fix installiert ist. Der Killswitch-Mechanismus ist besonders relevant im Kontext der aktuellen Dirty Frag-Schwachstelle, fĂŒr die der Exploit veröffentlicht wurde, bevor das Problem im Kernel behoben wurde.
Quelle: opennet.ru
