Sasha Levin (Sasha Levin) a NVIDIA, aki az LTS-ágakat felügyeli a Linux kernelben és a Linux Foundation tanácsadó testületének tagja, elkészítette a killswitch mechanizmusának megvalósítását tartalmazó patch-eket a Linux kernelhez. A javasolt funkció lehetővé teszi, hogy az aktív kernel egyes funkcióinak hozzáférését azonnal letiltsák. A killswitch hasznos lehet a sebezhetőségek ideiglenes blokkolására a kernel frissítése előtt, amely javítja a problémát.
A killswitch vezérlése a „/sys/kernel/security/killswitch/control” fájlon keresztül történik, amely lehetővé teszi a kernel funkcióinak neve alapján történő hívásainak megfigyelését. Például a Copy Fail sebezhetőség blokkolásához elegendő a vezérlő fájlba a következő parancsot írni: „engage af_alg_sendmsg -1”, ezzel aktiválva az af_alg_sendmsg funkció hívásának megfigyelését, amely helyett egy „-1” hibakódot ad vissza.
A nevekként bármely karakter használható, amelyet a kprobes alrendszer támogat. Számos recenten felfedezett, komoly sebezhetőség a kernelben olyan alrendszerekben található, amelyeket viszonylag kevés felhasználó használ (például AF_ALG, ksmbd, nf_tables, vsock, ax25). A legtöbb felhasználó számára az egyes funkciók leállításából eredő kényelmetlenség nem hasonlítható a kernel olyan verziójának használatával járó kockázathoz, amely ismert, de még nem javított sebezhetőséget tartalmaz, mielőtt a javítást telepítenék. A killswitch mechanizmus különösen releváns a mai Dirty Frag sebezhetőség mintájában, amelynek exploit-ját a probléma megoldása előtt hozták nyilvánosságra a kernelben.
Forrás: opennet.ru
