SELinuxi piirangute vältimine, mis on seotud tuumamoodulite laadimisega.

Käiv ett oleme edastanud tuuma moodulite laadimise keeldu, mille eesmärk on siht otstarbelised reeglid SELinux ühel uuritud seadmel (ei täpsustata, millise seadmega on tegu ning millistes määral probleem mõjutab SELinux reegleid tõhusates tarkvarades ja jaotustes). Moodulite blokeerimine rakendatud reeglites SELinux põhines juurdepääsu piiramise teel süsteemikutsumisele finit_module, mis võimaldab laadida mooduli failist ning mida kasutatakse sellistes utiliitides nagu insmod. Sellega seoses ei käsitlenud SELinux reeglid süsteemikutsumist init_module, mis samuti võimaldab laadida tuuma mooduleid otse mälubuffrist.

Meetodi demonstreerimiseks on valmistatud eksploiteerimise prototüüp, mis võimaldab käitada koodi tuuma tasemel oma mooduli laadimise kaudu ja täielikult keelata SELinuxi kaitse, kui on olemas piiratud juurdepääs süsteemile SELinuxi abil.

Allikas: opennet.ru