Los desarrolladores de la distribución Rocky Linux, enfocada en crear una versión libre de RHEL que pueda reemplazar al clásico CentOS, han anunciado la creación de un nuevo grupo SIG (Grupo de Interés Especial) de Seguridad, que se encargará de el mantenimiento de paquetes relacionados con el suministro de protección avanzada y la provisión de herramientas adicionales para garantizar la seguridad. El grupo también publicará alternativas a los paquetes existentes, compilados con la inclusión de diversos mecanismos para aumentar la seguridad o eliminar vulnerabilidades que permanecen sin corregir en RHEL y CentOS Stream.
Los desarrollos realizados se publicarán en un repositorio separado, que también se podrá utilizar en otras distribuciones compatibles con Red Hat Enterprise Linux. Para conectar el repositorio en Rocky Linux, ya se puede utilizar el comando «dnf install rocky-release-security». Actualmente, el repositorio ofrece los siguientes paquetes:
- Módulo del kernel LKRG (Linux Kernel Runtime Guard), diseñado para detectar y bloquear ataques y violaciones de la integridad de las estructuras del kernel (por ejemplo, el módulo puede proteger contra cambios no autorizados en un kernel en funcionamiento y intentos de alterar los privilegios de los procesos de usuario). El paquete está compilado para las ramas RHEL8 y RHEL9.
- Herramienta passwdqc para controlar la complejidad de las contraseñas y frases de contraseña, que incluye el módulo pam_passwdqc, los programas pwqcheck, pwqfilter y pwqgen, así como la biblioteca libpasswdqc. El paquete está compilado para la rama RHEL9.
- Paquete con Glibc, que incluye modificaciones para mejorar la seguridad, desarrolladas por el proyecto Owl y aplicadas en ALT Linux. El paquete también incluye correcciones para bloquear dos vulnerabilidades: una vulnerabilidad en ld.so (CVE-2023-4911), que permite a un usuario local elevar sus privilegios en el sistema al especificar datos especialmente formateados en la variable de entorno GLIBC_TUNABLES, y una vulnerabilidad (CVE-2023-4527) en la función getaddrinfo, que puede llevar a una filtración de datos desde la pila o un fallo. El paquete está compilado para la rama RHEL9.
- Paquete con OpenSSH, en el que sshd está vinculado a un menor número de bibliotecas compartidas. El paquete está compilado para la rama RHEL9.
- Paquetes complementarios: pam_ssh_agent_auth, libnsl, nscd, nss_db, nss_hesiod.
Fuente: opennet.ru
