Kiddy - Linuxi tuuma moodul skriptide lastete eest kaitsmiseks

Kiddy – Linuxi tuuma moodul, mis on välja töötatud tuuma (mõningate) haavatavuste väärkasutamise riskide vähendamiseks.

Kaitsemehhanismi aluseks, mis on selles moodulis rakendatud, on lihtne idee, et rünnaku ajal toimub mingil viisil ründej objekti tuvastamine. Seetõttu, kui tuvastamise raskust suurendada, saab oluliselt suurendada väärkasutamise keerukust, kuna paljudel juhtudel sisaldavad valmis eksploidid erinevaid nihke (offset) tabeleid, mis vastavad sihtversioonidele tuumast.

Näiteks on see tehtud järgmistel juhtudel CVE-2017-1000112. Seal on samuti näha, et tuuma versiooni tuvastamine toimub uname'i abil.

Väljatöötatud moodul on teostatav ja võimaldab:

• muuta tuuma tuvastamist;
• piirata juurdepääsu tuuma logile (dmesg);
• piirata juurdepääsu mõnedele failidele /proc, mis samuti sisaldavad tuvastavat teavet;
• piirata juurdepääsu failidele ja kaustadele, mis võivad sisaldada tuvastavat teavet;
• muuta tuuma versiooni, mis on saadaval vDSO kaudu.

Mooduli koostamise käigus on võimalik kasutada nn "preset'sid", mis rakendavad erinevat logika tuvastamise muutmiseks. Näiteks, kasutades "windows" preset'i, on võimalik saavutada järgmine käitumine:

Enne mooduli laadimist

$ ./misc/id.sh ** UNAME identiteedi lekkeid — uname -r 2.6.32-754.35.1.el6.x86_64 — uname -v #1 SMP Laup Nov 7 12:42:14 UTC 2020 — uname -a Linux localhost.localdomain 2.6.32-754.35.1.el6.x86_64 #1 SMP Laup Nov 7 12:42:14 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux ** PROCFS identiteedi lekkeid — /proc/cmdline ro root=/dev/mapper/VolGroup00-LogVol00 rd_NO_LUKS no_timer_check console=tty0 console=ttyS0,115200n8 net.ifnames=0 biosdevname=0 LANG=en_US.UTF-8 rd_NO_MD SYSFONT=latarcyrheb-sun16 rd_LVM_LV=VolGroup00/LogVol01 rd_LVM_LV=VolGroup00/LogVol00 KEYBOARDTYPE=pc KEYTABLE=us rd_NO_DM rhgb quiet — /proc/version Linux version 2.6.32-754.35.1.el6.x86_64 (mockbuild@x86-02.bsys.centos.org) (gcc version 4.4.7 20120313 (Red Hat 4.4.7-23) (GCC) ) #1 SMP Laup Nov 7 12:42:14 UTC 2020 — /proc/sys/kernel/version #1 SMP Laup Nov 7 12:42:14 UTC 2020 — /proc/sys/kernel/osrelease 2.6.32-754.35.1.el6.x86_64 which: no hostnamectl in (/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/vagrant/bin)

Pärast mooduli laadimist

$ ./misc/id.sh ** UNAME identiteedi lekkeid — uname -r Windows — uname -v NT 4.0 — uname -a Linux localhost.localdomain Windows NT 4.0 x86_64 x86_64 x86_64 GNU/Linux ** PROCFS identiteedi lekkeid — /proc/cmdline EFIMicrosoftBootbootmgfw.efi — /proc/version Windows NT 4.0 — /proc/sys/kernel/version NT 4.0 — /proc/sys/kernel/osrelease Windows which: no hostnamectl in (/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/vagrant/bin)

Kiddy skripti ei lähe läbi!

Allikas: linux.org.ru