Sasha Levin de NVIDIA, qui s'occupe du support des branches LTS du noyau Linux et fait partie du conseil consultatif de la Linux Foundation, a préparé un ensemble de patches mettant en œuvre un mécanisme de killswitch pour le noyau Linux. La possibilité proposée permet de désactiver instantanément l'accès à certaines fonctionnalités du noyau en cours d'exécution. Le killswitch devrait être utile pour bloquer temporairement des vulnérabilités jusqu'à ce qu'une mise à jour du noyau avec un correctif soit installée.
La gestion du killswitch se fait via le fichier « /sys/kernel/security/killswitch/control », permettant de configurer l'interception des appels aux fonctions du noyau par leur nom. Par exemple, pour bloquer la vulnérabilité Copy Fail, il suffit d'écrire dans le fichier de contrôle la commande « engage af_alg_sendmsg -1 » pour activer l'interception de l'appel de la fonction af_alg_sendmsg et retourner un code d'erreur « -1 » au lieu de son exécution.
Tous les caractères supportés par la sous-système kprobes peuvent être utilisés comme noms. De nombreuses vulnérabilités sérieuses récemment découvertes dans le noyau se trouvent dans des sous-systèmes utilisés par un nombre relativement restreint d'utilisateurs (par exemple, AF_ALG, ksmbd, nf_tables, vsock, ax25). Pour la plupart des utilisateurs, le désagrément causé par l'arrêt de certaines fonctionnalités n'est pas comparable au risque de travailler avec un noyau présentant une vulnérabilité connue non corrigée jusqu'à la mise en place d'un correctif. Le mécanisme killswitch est particulièrement pertinent dans le contexte de la vulnérabilité Dirty Frag d'aujourd'hui, pour laquelle un exploit a été publié avant que le problème ne soit réparé dans le noyau.
Source : opennet.ru
