NVIDIA töötaja Sasha Levin, kes tegeleb Linuxi tuuma LTS-haru haldamisega ning kuulub Linux Foundationi nÔuandeorganisse, on valmistanud ette patƥide komplekti, mis rakendab killswitchi mehhanismi Linuxi tuumas. Pakutud funktsioon vÔimaldab koheselt keelata juurdepÀÀsu teatud funktsioonidele, mis on aktiivses tuumas. Eeldatakse, et killswitch on kasulik ajutiseks haavatavuste blokeerimiseks enne tuuma vÀrskenduse rakendamist.
Killswitchi haldamine toimub faili kaudu "\/sys\/kernel\/security\/killswitch\/control", mis vÔimaldab konfigureerida tuuma funktsioonide nimede kutsumiste pealtkuulamist. NÀiteks, et blokeerida Copy Fail haavatavus, piisab, kui kirjutada juhtfaili kÀsk "engage af_alg_sendmsg -1", et aktiveerida funktsiooni af_alg_sendmsg kutse pealtkuulamine ning selle tÀitmise asemel naasta veakoodi "-1".
Nimede jaoks vĂ”ivad kasutada kĂ”iki mĂ€rke, mida toetab kprobes alamsĂŒsteem. Paljudes hiljuti avastatud tĂ”sistes tuuma haavatavustes on seotud subsystemid, mida kasutab suhteliselt vĂ€ike hulk kasutajaid (nĂ€iteks AF_ALG, ksmbd, nf_tables, vsock, ax25). Enamikule kasutajatest tekitab ĂŒksikute funktsioonide töökatkestamine vĂ€hem ebamugavust kui tuuma variante, kus teadaolevad parandamata haavatavused vĂ”ivad edasi töötada enne patche rakendamist. Killswitchi mehhanism on tĂ€napĂ€eva Dirty Frag haavatavuse kontekstis eriti oluline, mille eksploite on avaldatud varem, kui probleem tuumas lahendati.
Allikas: opennet.ru
