Linus Torvalds
Si yon atakè reyalize kòd ekzekisyon ak dwa rasin, li ka egzekite kòd li nan nivo nwayo a, pou egzanp, lè li ranplase nwayo a lè l sèvi avèk kexec oswa lekti/ekri memwa atravè /dev/kmem. Konsekans ki pi evidan nan aktivite sa yo ka
Okòmansman, fonksyon restriksyon rasin yo te devlope nan yon kontèks ranfòse pwoteksyon bòt verifye, ak distribisyon yo te itilize plak twazyèm pati pou bloke kontoune UEFI Secure Boot pou kèk tan. An menm tan an, restriksyon sa yo pa te enkli nan konpozisyon prensipal la nan nwayo a akòz
Mòd fèmen pòt mete restriksyon sou aksè nan /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes debug mòd, mmiotrace, tracefs, BPF, PCMCIA CIS (Estrikti Enfòmasyon sou Kat), kèk koòdone ACPI ak CPU. Anrejistre MSR, apèl kexec_file ak kexec_load bloke, mòd dòmi entèdi, itilizasyon DMA pou aparèy PCI limite, enpòte kòd ACPI soti nan varyab EFI yo entèdi,
Manipilasyon ak pò I/O yo pa pèmèt, tankou chanje nimewo entèwonp ak pò I/O pou pò seri a.
Pa default, modil fèmen pòt la pa aktif, li bati lè opsyon SECURITY_LOCKDOWN_LSM espesifye nan kconfig epi li aktive atravè paramèt nwayo "lockdown =", dosye kontwòl "/sys/kernel/security/lockdown" oswa opsyon asanble.
Li enpòtan pou sonje ke fèmen pòt sèlman limite aksè estanda nan nwayo a, men li pa pwoteje kont modifikasyon kòm rezilta eksplwatasyon frajilite yo. Pou bloke chanjman nan nwayo a kouri lè eksplwatasyon yo itilize pa pwojè a Openwall
Sous: opennet.ru