Ohumudel ja haavatavuste hindamise omadused Linuxi tuumas

Linus Torvalds has incorporated into the kernel a document that regulates the process of handling security-related issues, outlines the threat model, clarifies which errors in the kernel are classified as vulnerabilities, and discusses actions regarding errors identified with the help of AI. The document was prepared by Willy Tarreau, the author of HAProxy and a long-time Linux kernel developer responsible for maintaining several stable branches of the kernel. It is based on agreements reached during discussions of recently uncovered critical vulnerabilities in the kernel (1, 2, 3, 4), which were disclosed before the release of patches and for which working exploits were created immediately using AI.

The majority of security-related errors are prescribed to be handled publicly to attract the widest possible audience and find the optimal solution. A separate private mailing list is recommended for sending only urgent notifications about easily exploitable vulnerabilities that pose a threat to many users and allow for privilege escalation or extended capabilities.

Vulnerabilities identified with the help of AI assistants are always recommended to be discussed publicly, as such issues are often discovered simultaneously by multiple researchers. It is important not to disclose the exploit in the report — simply mention that it is available and provide it privately in response to a request from the maintainer.

The rules for submitting reports created with the assistance of AI assistants are described separately. Many such reports are sent, and they occasionally help identify errors in poorly reviewed areas of the code, but maintainers often ignore them due to low quality and inaccuracies. The main requirements for reports created with AI involvement are:

• Conciseness, without fluff, stating the essence and important details at the very beginning.
• Only plain text without Markdown tags or decoration.
• Understanding the threat model and indicating the verified facts (for example, 'the error allows any user to gain CAP_NET_ADMIN'), rather than theoretical musings and conjectures about the consequences of the vulnerability.
• Enne aruande saatmist tuleb kindlasti hoolikalt testida AI abil loodud eksploitit ning veenduda, et probleem on võimalik kordude.
• AI kaasamine avastatud probleemi parandamise väljatöötamiseks ja testimiseks.

Saadud statistika kohaselt ei ole enamiku veateadete, mis saadetakse turvaauku kõrvaldamise vormis, sellised ning neid tuleb käsitleda tavapäraste vigadena. Turvaohtude mudel on kirjeldatud Linuxi tuumas, et eristada haavatavusi ja tavapäraseid vigu. Võimalused ja tagatised, mille rikkumist võib lugeda haavatavuseks:

• Kasutajate tasandil isoleerimine: omaniku failidele on juurdepääs vaid omanikul, protsessi mälu ei ole teistele kasutajatele kättesaadav, ptrace on keelatud teiste protsesside jaoks, IPC ja võrgusõnumite isoleerimine.
• Capabilities-põhine kaitse: ilma CAP_SYS_ADMINita ei saa tuuma konfiguratsiooni, mälu ega süsteemi olekut muuta; ilma CAP_NET_ADMINita ei saa võrgunäitajaid muuta ega liiklust jälgida; ilma CAP_SYS_PTRACEta ei saa jälgida teiste kasutajate protsesse.
• Kasutaja ID-de nimede ruum (CONFIG_USER_NS) võimaldab mitteprivileegitud kasutajatel luua isoleeritud keskkondi, millest ei saa mõjutada globaalses nimede ruumis, näiteks muuta aega, laadida mooduleid ja mountida plokkseadmeid.
• Silumisliidesed (/proc/kmsg, perf, debugfs), mille kaudu saab ligi konfidentsiaalsele teabele, on kättesaadavad ainult pärast administreerija selge ligipääsu andmist.

Võimalused, mida ei peeta haavatavusteks:

• Ajalooliste tuumade harude kasutamine.
• Koostamine, kus on sisse lülitatud arendajate või turvakaalu vähendavad valikud (nt CONFIG_NOMMU).
• Ohtlike sysctl-e seadete, käsurea valikute, failisüsteemi õiguste, capabilities-e määramine või privileegitud liideste ligipääsu avamine mitteprivileegitud kasutajatele (nt kirjaliku juurdepääsu võimaldamine procfs ja debugfs).
• Probleemid funktsioonides, mis on mõeldud ainult tuuma arendamiseks ja silumiseks, nagu LOCKDEP, KASAN ja FAULT_INJECTION, mis ei ole ette nähtud töökonfiguratsioonidesse sisse lülitamiseks.
• Probleemid draiverites, moodulites ja alamsüsteemides, mis on STAGING jaotises või märgistatud kui katsetavad, ebaturvalised või mittetöötavad.
• Kolmandate osapoolte kernelimoodulite kasutamine või mitteametlike kerneliformaatide kasutamine.
• Ülejõuliste privileegide nõudmine, näiteks vajadus teha tegevusi root-õigustega või kasutajalt, kellel on õigused CAP_SYS_ADMIN, CAP_NET_ADMIN, CAP_SYS_RAWIO ja CAP_SYS_MODULE.
• Teoreetilised rünnakud, mis nõuavad laboratoorseid tingimusi, miljardeid katsetusi, emuleerimist või seadmete modifitseerimist, ebaproportsionaalseid kulutusi ja ebatavalisi konfiguratsioone (nt süsteemid kümnete tuhandete CPU-keradega).
• Kaitsemehhanismide (nt ASLR) ümbersuunamine ilma eksploaadi demonstreerimata. Argumentide ja tagastatud veakoodide kontrollide puudumine, millel ei ole ilmseid tagajärgi.
• Juhuslikud teabe leket, mis pole ründajate kontrolli all, nagu jääkandmed veateadetes ja tuumamälu aadresside/viidete leke ilma otsese ärakasutamise võimaluseta.
• Vigade põhjustamine kahjustatud ketta kujutiste monteerimisel, kui draiverit ei ole kuulutatud usaldusväärsete meediumite jaoks sobivaks. Ketaste kujutiste probleemid, mis tuvastatakse ja kõrvaldatakse läbi fsck utiliidi käivitamise.
• Rünnakud, mis nõuavad füüsilist juurdepääsu seadmetele, seadmete modifitseerimist või riistvaraseadmete ühendamist, nagu DMA ründepinkide ja loogiliste analüsaatorite plaatide kasutamine, kui süsteem ei ole spetsiaalselt seadistatud selliste rünnakute kaitseks (IOMMU).
• Funktsionaalsuse ja jõudluse regressioonid, mis on kõrvaldatavad õiguste ja piirangute seadistamisega.

Allikas: opennet.ru