Veröffentlichung des LKRG-Moduls 0.7 zum Schutz vor der Ausnutzung von Schwachstellen im Linux-Kernel

Openwall-Projekt veröffentlichte Erscheinung des Kernel-Moduls LKRG 0.7 (Linux Kernel Runtime Guard), das die Erkennung unbefugter Änderungen am laufenden Kernel (Integritätsprüfung) oder Versuche zur Änderung der Berechtigungen von Benutzerprozessen (Erkennung von Exploits) ermöglicht. Das Modul eignet sich sowohl zur Absicherung gegen bereits bekannte Exploits für den Linux-Kernel (zum Beispiel in Situationen, in denen ein Update des Kernels im System problematisch ist) als auch zur Bekämpfung von Exploits für noch unbekannte Schwachstellen. Weitere Informationen zu den Besonderheiten von LKRG finden Sie in der ersten Projektankündigung.

Zu den Neuerungen in der neuen Version gehören:

• Der Code wurde refaktoriert, um die Unterstützung verschiedener CPU-Architekturen zu gewährleisten. Erste Unterstützung für die Architektur ARM64 wurde hinzugefügt;
• Die Kompatibilität mit den Linux-Kerneln 5.1 und 5.2 sowie mit Kerneln, die ohne Aktivierung der Optionen CONFIG_DYNAMIC_DEBUG, CONFIG_ACPI und CONFIG_STACKTRACE beim Kernel-Build zusammengestellt wurden, wurde sichergestellt, ebenso mit Kerneln, die mit der Option CONFIG_STATIC_USERMODEHELPER kompiliert wurden. Experimentelle Unterstützung für Kernels vom grsecurity-Projekt wurde hinzugefügt;
  Die Logik der Initialisierung wurde erheblich geändert;
• Im Integritätsprüfsystem wurden Selbst-Hashing (self-hashing) wieder aktiviert und ein Rennzustand im Sprungmarken-Engine (*_JUMP_LABEL) beseitigt, der zu Deadlocks bei der gleichzeitigen Initialisierung mit Lade- oder Entladeereignissen anderer Module führte;
• Im Code zur Bestimmung der Ausnutzung von Exploits wurden neue Sysctl-Parameter lkrg.smep_panic (standardmäßig aktiviert) und lkrg.umh_lock (standardmäßig deaktiviert) hinzugefügt, zusätzliche Prüfungen des SMEP/WP-Bits implementiert, die Logik zur Verfolgung neuer Aufgaben im System geändert, die interne Logik zur Synchronisierung mit den Ressourcen der Aufgaben überarbeitet und die Unterstützung von OverlayFS hinzugefügt, wobei Ubuntu Apport auf die Whitelist gesetzt wurde.
• Drei Dijkstra-Preisträger: So verliefen Hydra 2019 und SPTDC 2019

Quelle: opennet.ru