Sasha Levin von NVIDIA, der sich mit der Pflege der LTS-Zweige des Linux-Kernels beschäftigt und im Beratungsgremium der Linux Foundation sitzt, hat ein Set von Patches vorbereitet, die die Implementierung eines Killswitch-Mechanismus für den Linux-Kernel ermöglichen. Die vorgeschlagene Funktion erlaubt es, den Zugriff auf bestimmte Funktionen des laufenden Kernels sofort zu deaktivieren. Der Killswitch soll nützlich sein, um Schwachstellen vorübergehend zu blockieren, bis ein Kernel-Update mit einem Fix installiert ist.
Die Steuerung des Killswitch erfolgt über die Datei «/sys/kernel/security/killswitch/control», die es ermöglicht, den Zugriff auf Kernel-Funktionen nach ihren Namen abzufangen. Zum Beispiel reicht es aus, den Befehl «engage af_alg_sendmsg -1» in die Steuerdatei zu schreiben, um den Aufruf der Funktion af_alg_sendmsg abzufangen und anstelle ihrer Ausführung den Fehlercode «-1» zurückzugeben.
Als Namen können beliebige Zeichen verwendet werden, die von der kprobes-Subsystem unterstützt werden. Viele der kürzlich im Kernel gefundenen schwerwiegenden Schwachstellen befinden sich in Subsystemen, die von vergleichsweise wenigen Nutzern verwendet werden (z. B. AF_ALG, ksmbd, nf_tables, vsock, ax25). Für die meisten Benutzer ist die Unannehmlichkeit durch die Deaktivierung einzelner Funktionen nicht vergleichbar mit dem Risiko, mit einem Kernel zu arbeiten, der eine bekannte ungepatchte Schwachstelle hat, bis ein Fix installiert ist. Der Killswitch-Mechanismus ist besonders relevant im Kontext der aktuellen Dirty Frag-Schwachstelle, für die der Exploit veröffentlicht wurde, bevor das Problem im Kernel behoben wurde.
Quelle: opennet.ru
