Sasha Levin von NVIDIA, der sich mit der Betreuung der LTS-Branches des Linux-Kernels befasst und Mitglied des Beratungsgremiums der Linux Foundation ist, hat ein Patch-Paket mit der Implementierung eines Killswitch-Mechanismus für den Linux-Kernel vorbereitet. Die angebotene Funktion ermöglicht es, den Zugriff auf bestimmte Funktionalitäten des laufenden Kernels sofort zu deaktivieren. Es wird angenommen, dass der Killswitch nützlich ist, um Schwachstellen vorübergehend zu blockieren, bis ein Kernel-Update mit einer Behebung installiert werden kann.
Die Verwaltung des Killswitch erfolgt über die Datei „/sys/kernel/security/killswitch/control“, die es ermöglicht, den Zugriff auf Kernel-Funktionen anhand ihrer Namen zu steuern. Zum Beispiel reicht es aus, um die Schwachstelle Copy Fail zu blockieren, den Befehl „engage af_alg_sendmsg -1“ in die Steuerdatei zu schreiben. Dies aktiviert die Abfangfunktion für den Aufruf der Funktion af_alg_sendmsg und gibt anstelle ihrer Ausführung den Fehlercode „-1“ zurück.
Als Namen können beliebige von der kprobe-Subsystem unterstützte Zeichen verwendet werden. Viele der kürzlich im Kernel gefundenen schwerwiegenden Sicherheitsanfälligkeiten befinden sich in Subsystemen, die von relativ wenigen Nutzern verwendet werden (zum Beispiel AF_ALG, ksmbd, nf_tables, vsock, ax25). Für die meisten Nutzer überwiegt die Unannehmlichkeit durch die Deaktivierung einzelner Funktionen das Risiko, einen Kernel mit einer bekannten, ungepatchten Sicherheitsanfälligkeit zu verwenden, bis das Update installiert ist. Der Killswitch-Mechanismus ist besonders im Kontext der aktuellen Dirty Frag-Sicherheitsanfälligkeit von Bedeutung, für die ein Exploit veröffentlicht wurde, bevor das Problem im Kernel behoben wurde.
Quelle: opennet.ru
