{"id":38554,"date":"2019-10-31T22:24:30","date_gmt":"2019-10-31T19:24:30","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-yadro-linux-5-4-prinyaty-patchi-dlya-ogranicheniya-dostupa-root-k-vnutrennostyam-yadra\/"},"modified":"2019-10-31T22:24:30","modified_gmt":"2019-10-31T19:24:30","slug":"v-yadro-linux-5-4-prinyaty-patchi-dlya-ogranicheniya-dostupa-root-k-vnutrennostyam-yadra","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-yadro-linux-5-4-prinyaty-patchi-dlya-ogranicheniya-dostupa-root-k-vnutrennostyam-yadra","title":{"rendered":"Im Kernel von Linux 5.4 wurden Patches zur Einschr\u00e4nkung des Root-Zugriffs auf die Innereien des Kernels angenommen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Linus Torvalds hat<\/a><\/noindex> Im kommenden Release des Linux-Kernels 5.4 gibt es ein Patchset «lockdown<\/a><\/noindex>\u201e vorgeschlagen<\/a><\/noindex>\tDavid Howells (arbeitet bei Red Hat) und Matthew Garrett (Matthew Garrett<\/a><\/noindex>, das von Google entwickelt wurde) zur Einschr\u00e4nkung des Zugriffs des Root-Benutzers auf den Kernel. Die Funktionalit\u00e4t, die mit «lockdown» verbunden ist, wurde in ein optional ladbares LSM-Modul ausgelagert (Linux Security Module<\/a><\/noindex>) ausgelagert, das eine Barriere zwischen UID 0 und dem Kernel schafft und bestimmte niedrigstufige Funktionen einschr\u00e4nkt.<\/p>\n

Wenn ein Angreifer im Rahmen eines Angriffs die Ausf\u00fchrung von Code mit Root-Rechten erreicht hat, kann er seinen Code auch auf Kernel-Ebene ausf\u00fchren, zum Beispiel durch den Austausch des Kernels mit kexec oder durch Lesen\/Schreiben von Speicher \u00fcber \/dev\/kmem. Eine der offensichtlichsten Folgen solcher Aktivit\u00e4ten k\u00f6nnte sein, Umgehung<\/a><\/noindex> von UEFI Secure Boot oder das Extrahieren sensibler Daten, die auf Kernel-Ebene gespeichert sind.<\/p>\n

Urspr\u00fcnglich wurden die Funktionen zur Einschr\u00e4nkung von Root im Kontext der Verbesserung des Schutzes durch verifiziertes Booten entwickelt, und Distributionen verwenden bereits seit einiger Zeit externe Patches, um die Umgehung von UEFI Secure Boot zu blockieren. Diese Einschr\u00e4nkungen wurden jedoch nicht in den Hauptkernel aufgenommen, da Unterschiede<\/a><\/noindex> in deren Implementierung und Bedenken hinsichtlich der Beeintr\u00e4chtigung bestehender Systeme. Das «lockdown»-Modul fasst bereits in Distributionen verwendete Patches zusammen, die zu einer eigenst\u00e4ndigen Subsystemform \u00fcberarbeitet wurden, die nicht an UEFI Secure Boot gebunden ist. <\/p>\n

Im Lockdown-Modus wird der Zugriff auf \/dev\/mem, \/dev\/kmem, \/dev\/port, \/proc\/kcore, debugfs, den Debug-Modus von kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), einige ACPI-Schnittstellen und CPU-MSR-Register eingeschr\u00e4nkt, die Aufrufe von kexec_file und kexec_load blockiert, der \u00dcbergang in den Ruhezustand verboten, die Verwendung von DMA f\u00fcr PCI-Ger\u00e4te limitiert und der Import von ACPI-Code aus EFI-Variablen untersagt,
\nManipulationen mit Ein- und Ausgabepunkten sind nicht erlaubt, einschlie\u00dflich der \u00c4nderung der Interrupt-Nr. und des E\/A-Ports f\u00fcr serielle Ports. <\/p>\n

Standardm\u00e4\u00dfig ist das lockdown-Modul nicht aktiviert, es wird bei Angabe der Option SECURITY_LOCKDOWN_LSM in kconfig erstellt und \u00fcber den Kernelparameter «lockdown=», die Steuerdatei «\\\/sys\\\/kernel\\\/security\\\/lockdown» oder Build-Optionen aktiviert LOCK_DOWN_KERNEL_FORCE_*<\/a><\/noindex>, die die Werte «integrity» und «confidentiality» annehmen k\u00f6nnen. Im ersten Fall werden die M\u00f6glichkeiten blockiert, \u00c4nderungen am laufenden Kernel aus dem Benutzermodus vorzunehmen, w\u00e4hrend im zweiten Fall zus\u00e4tzlich die Funktionalit\u00e4t deaktiviert wird, die verwendet werden k\u00f6nnte, um vertrauliche Informationen aus dem Kernel zu extrahieren.<\/p>\n

Es ist wichtig zu beachten, dass der Lockdown lediglich die regul\u00e4ren Zugriffsrechte auf den Kernel einschr\u00e4nkt, jedoch nicht vor Modifikationen durch die Ausnutzung von Schwachstellen sch\u00fctzt. Um \u00c4nderungen am laufenden Kernel durch den Einsatz von Exploits zu blockieren, hat das Projekt Openwall entwickelt sich<\/a><\/noindex> ein separates Modul LKRG<\/a><\/noindex> (Linux Kernel Runtime Guard).<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041b\u0438\u043d\u0443\u0441 \u0422\u043e\u0440\u0432\u0430\u043b\u044c\u0434\u0441 \u043f\u0440\u0438\u043d\u044f\u043b \u0432 \u0441\u043e\u0441\u0442\u0430\u0432 \u0431\u0443\u0434\u0443\u0449\u0435\u0433\u043e \u0432\u044b\u043f\u0443\u0441\u043a\u0430 \u044f\u0434\u0440\u0430 Linux 5.4 \u043d\u0430\u0431\u043e\u0440 \u043f\u0430\u0442\u0447\u0435\u0439 «lockdown«, \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0439 \u0414\u044d\u0432\u0438\u0434\u043e\u043c \u0425\u043e\u0443\u044d\u043b\u043b\u0441\u043e\u043c (David Howells, \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0432 Red Hat) \u0438 \u041c\u044d\u0442\u044c\u044e \u0413\u0430\u0440\u0440\u0435\u0442\u043e\u043c (Matthew Garrett, \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0432 Google) \u0434\u043b\u044f \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root \u043a \u044f\u0434\u0440\u0443. \u0421\u0432\u044f\u0437\u0430\u043d\u043d\u0430\u044f \u0441 «lockdown» \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0432\u044b\u043d\u0435\u0441\u0435\u043d\u0430 \u0432 \u043e\u043f\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u044b\u0439 LSM-\u043c\u043e\u0434\u0443\u043b\u044c (Linux Security Module), \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0449\u0438\u0439 \u0431\u0430\u0440\u044c\u0435\u0440 \u043c\u0435\u0436\u0434\u0443 UID 0 \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-38554","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Im Linux-Kernel 5.4 wurden Patches f\u00fcr die Einschr\u00e4nkung des Root-Zugriffs auf die inneren Komponenten des Kernels angenommen | ProHoster","description":"Linus Torvalds hat den zuk\u00fcnftigen Release aufgenommen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/v-yadro-linux-5-4-prinyaty-patchi-dlya-ogranicheniya-dostupa-root-k-vnutrennostyam-yadra","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 \u044f\u0434\u0440\u043e Linux 5.4 \u043f\u0440\u0438\u043d\u044f\u0442\u044b \u043f\u0430\u0442\u0447\u0438 \u0434\u043b\u044f \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 root \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u043c \u044f\u0434\u0440\u0430 | ProHoster","og:description":"\u041b\u0438\u043d\u0443\u0441 \u0422\u043e\u0440\u0432\u0430\u043b\u044c\u0434\u0441 \u043f\u0440\u0438\u043d\u044f\u043b \u0432 \u0441\u043e\u0441\u0442\u0430\u0432 \u0431\u0443\u0434\u0443\u0449\u0435\u0433\u043e \u0432\u044b\u043f\u0443\u0441\u043a\u0430.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/v-yadro-linux-5-4-prinyaty-patchi-dlya-ogranicheniya-dostupa-root-k-vnutrennostyam-yadra","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:24:30+00:00","article:modified_time":"2019-10-31T19:24:30+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"38554","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"Article","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 22:31:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:07:39","updated":"2026-01-23 22:31:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/38554","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=38554"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/38554\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=38554"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=38554"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=38554"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}