LKRG 0.7 mooduli vabastamine Linuxi tuuma haavatavuste vastu kaitsmiseks

Openwall projekt avalikustas tuuma mooduli vabastamine LKRG 0.7 (Linux Kernel Runtime Guard), mis tagab käimasoleva tuuma mitteautoriseeritud muutmise tuvastamise (integriteedi kontroll) või kasutajaprotsesside õiguste muutmise katsete tuvastamise (kasutamisstrateegiate määramine). Moodul sobib nii tuntud Linuxi tuuma haavatavuste kaitseks (näiteks olukordades, kus süsteemis on keeruline tuuma uuendada) kui ka teadmata haavatavuste exploit’ide vastu seismiseks. LKRG eripärade kohta saab lugeda projekti esimeses teadetes.

Uues versioonis on järgmised muudatused:

• Koodi refaktoreerimine, et toetada erinevaid CPU arhitektuure. Esialgne tugi ARM64 arhitektuurile lisatud;
• Tagatud ühilduvus Linuxi kernelitega 5.1 ja 5.2 ning tuumadega, mis on kokku pandud ilma CONFIG_DYNAMIC_DEBUG, CONFIG_ACPI ja CONFIG_STACKTRACE valikute kaasamiseta, samuti tuumadega, mis on kokku pandud CONFIG_STATIC_USERMODEHELPER valikuga. Eksperimentaalne tugi grsecurity projekti tuumadele lisatud;
  Algatamise loogika on märgatavalt muutunud;
• Integriteedi kontrollimise alamsüsteemis on uuesti sisse lülitatud enesehashimine (self-hashing) ja kõrvaldatud kergesti seadistuv seisund, mis põhjustas vastastikuse lukustamise, kui mitmed moodulid algatatakse samal ajal üleslaadimise või mahalaadimise sündmustega;
• Koodi exploit’ide määratlemise osas on lisatud uued sysctl lkrg.smep_panic (vaikimisi sisse lülitatud) ja lkrg.umh_lock (vaikimisi välja lülitatud), lisatud täiendavad kontrollid bitide SMEP/WP jaoks, muutunud on uute süsteemi ülesannete jälgimise loogika, ümber töötatud sisemine ressursside sünkroonimise loogika, toetatud on OverlayFS, Ubuntu Apport on valgete nimekirjade hulka lisatud.
• Kolm Deijkstra auhinna laureaati: kuidas Hydra 2019 ja SPTDC 2019 läksid

Allikas: opennet.ru