LKRG 1.0.0 väljaanne Linuxi kerneli haavatavuste exploitation kaitsmiseks.

Openwall projekt avaldas LKRG 1.0.0 (Linux Kernel Runtime Guard) tuuma mooduli, mis on mõeldud tuuma struktuuride terviklikkuse kontrollimiseks ja tuuma haavatavuste ekspluateerimise katsete avastamiseks. Märgitakse, et versiooni numbri 1.0.0 määramine tähistab projekti küpsuse saavutamist. Projekti kood on litsentseeritud GPLv2 alusel.

Moodul sobib nii rünnakute kaitsmiseks, mis manipuleerivad juba tuntud Linuxi tuuma haavatavustega, kui ka nende vastu, kes kasutavad veel tundmatuid haavatavusi, kui ei rakendata erilisi meetmeid LKRG ümbersuunamiseks. Kaitse põhineb volitamata muudatuste tuvastamisel töötavas tuumas (terviklikkuse kontroll) ja kasutajaprotsesside õiguste muutuste jälgimisel (eksploitide rakendamise tuvastamine).

Terviklikkuse kontroll toimub oluliste mälu ja tuuma andmestruktuuride jaoks arvutatud räsimärkide võrdlemise alusel, nagu IDT (Interrupt Descriptor Table), MSR, süsteemi kutse tabelid, kõik protseduurid ja funktsioonid, katkestuste käsitlejad, laaditud moodulite loendid, moodulite „.text” sektsiooni sisu ja protsesside atribuudid. Kontrolliprotseduur aktiveeritakse perioodiliselt taimeri või teatud sündmuste toimumisel tuumas, näiteks setuid, setreuid, fork, exit, execve ja do_init_module süsteemi kutsete täitmisel.

Eksploitide võimaliku rakendamise tuvastamine ja rünnakute blokeerimine toimub enne tuuma juurdepääsu andmist ressurssidele (näiteks enne faili avamist), kuid pärast protsessi volitamata volituste saamist (näiteks UID vahetamine). Volitamata käitumise tuvastamisel protsessides tehakse nende sundlõpetamine, mis on piisav paljude eksploitide blokeerimiseks. Mooduli töökoormus hinnatakse 2-2.5%.

Toetatakse töötlust x86-64, AArch64 (ARM64), ARM32 ja x86 arhitektuuridega süsteemides. LKRG 1.0.0 töö on testitud erinevate jaotuste tuumadega, alates 3.10 tuumast RHEL/CentOS 7-st kuni 6.17-rc4 tuumani, mille valmistamine on käimas Fedora 44 vabastamiseks. Pakette on saadaval jagunemistes ALT Linux, Arch Linux, Astra Linux, Gentoo, Guix, NixOS, Rocky Linux, Whonix, Yocto ja OpenBMC. Rocky Linuxile kokku pandud pakette saab kasutada RHEL 8/9 ja selle põhjal valmistatud jagunemistes, nagu AlamLinux 8/9, ning Whonix'i pakette Debianis ja Ubuntu's.

Uues versioonis on järgmised muudatused:

• Tagatakse ühilduvus Linuxi tugituumadega kuni versioonini 6.17-rc4.
• Keenia versioonidega alates 6.13 lõpetati kaugete kõnede override_creds() ja revert_creds() ülekate, mis piiras rünnakute tuvastamist, mis muudavad cred-aadressi. Piiranguid püüti kompenseerida lisades cred-aadressi ülekirjutamise kontrollide teisi punkte tuumas.
• Lõpetati liigselt akrediteeringute jälgimine, mille jaoks mitte verifitseerimise kontrolli ei rakendata. Muudatus võimaldas vähendada koodibaasi umbes 1500 rea võrra.
• Lisatud tugi Linuxi tuumas 6.10 esitatud mehhanismile ajutiste failide loomine OverlayFS-is, kasutades O_TMPFILE valikut (ovl_tmpfile). Antud toetus on vajalik vale töötluste vältimiseks, mis ilmnevad isolatsioonikonteinerite kasutamisel süsteemides tuumadega 6.10-6.12.
• x86_64 süsteemidele lisati Intel CET (Control-flow Enforcement Technology) tehnoloogia tugi, et kaitsta käitatavat koodi, kasutades IBT (indirect branch tracking) käske, samuti tarkvara kCFI (kernel Control Flow Integrity) kaitset, et blokeerida normaalsete täitmisjärjekordade rikkumist (control flow), mis tuleneb ekspluateerimise katsetest, mis muudavad mälus olevad funktsiooni aadressid.
• Palju töötlejat ühendamiseks kasutati kretprobe asemele kprobes mehhanismi, mis lihtsustab hookide seadistamise koodi ja võimaldab saavutada kõrgemat jõudlust.
• Andmete lukustamise (lock) töötlemine tuumas, mis on spetsiifilised protsessi jaoks (per-task shadow data), on ümber töötatud. Üksikute lukustuste eemaldamise tõttu õnnestus suurendada juurdepääsu sellistele andmetele.
• Eemaldatud vead, mis viisid võidusõiduseisundisse, integriteedi kontrollimise probleemidesse ja vale aktiveerimistesse.
• Parandatud Clangi kasutamisega koostamise tugi.

Allikas: opennet.ru