Sasha Levin de NVIDIA, que se ocupa del mantenimiento de las ramas LTS del núcleo de Linux y forma parte del consejo consultivo de la Linux Foundation, ha preparado un conjunto de parches que implementan un mecanismo de killswitch para el núcleo de Linux. La funcionalidad propuesta permite desconectar instantáneamente el acceso a ciertas funcionalidades del núcleo en funcionamiento. Se espera que el killswitch sea útil para bloquear temporalmente vulnerabilidades hasta que se instale una actualización del núcleo con una solución.
La gestión del killswitch se realiza a través del archivo «/sys/kernel/security/killswitch/control», que permite configurar la interceptación de llamados a las funciones del núcleo por sus nombres. Por ejemplo, para bloquear la vulnerabilidad Copy Fail, basta con escribir en el archivo de control el comando «engage af_alg_sendmsg -1» para habilitar la interceptación de la llamada a la función af_alg_sendmsg y, en lugar de ejecutarla, devolver el código de error «-1».
Se pueden usar cualquier símbolo en los nombres que sean compatibles con el subsistema kprobes. Muchas de las vulnerabilidades serias recientemente encontradas en el núcleo están presentes en subsistemas utilizados por un número relativamente pequeño de usuarios (por ejemplo, AF_ALG, ksmbd, nf_tables, vsock, ax25). Para la mayoría de los usuarios, el inconveniente de la interrupción de ciertas funciones no se compara con el riesgo de operar un núcleo con una vulnerabilidad conocida y no corregida hasta que se instale una solución. El mecanismo de killswitch es especialmente relevante en el contexto de la actual vulnerabilidad Dirty Frag, para la cual se publicó un exploit antes de que el problema fuera solucionado en el núcleo.
Fuente: opennet.ru
