Gli sviluppatori della distribuzione Rocky Linux, mirata a creare una versione libera di RHEL che possa sostituire la classica CentOS, hanno annunciato la creazione di un nuovo gruppo SIG (Special Interest Group) Sicurezza, che si occuperà del supporto dei pacchetti relativi alla fornitura di protezioni avanzate e all'approvvigionamento di strumenti aggiuntivi per la sicurezza. Il gruppo pubblicherà anche alternative ai pacchetti esistenti, assemblati con l'inclusione di vari meccanismi per aumentare la sicurezza o per risolvere vulnerabilità che rimangono non corrette in RHEL e CentOS Stream.
I lavori in fase di sviluppo saranno pubblicati in un repository separato, utilizzabile anche in altre distribuzioni compatibili con Red Hat Enterprise Linux. Per connettersi al repository in Rocky Linux, si può già utilizzare il comando «dnf install rocky-release-security». Attualmente, nel repository sono disponibili i seguenti pacchetti:
- Il modulo del kernel LKRG (Linux Kernel Runtime Guard), progettato per rilevare e bloccare attacchi e violazioni dell'integrità delle strutture del kernel (ad esempio, il modulo può proteggere da modifiche non autorizzate al kernel in esecuzione e tentativi di modifica dei privilegi dei processi utente). Il pacchetto è stato assemblato per le versioni RHEL8 e RHEL9.
- L'utility passwdqc per controllare la complessità delle password e delle frasi password, che include il modulo pam_passwdqc, i programmi pwqcheck, pwqfilter e pwqgen, oltre alla libreria libpasswdqc. Il pacchetto è stato assemblato per la versione RHEL9.
- Il pacchetto con Glibc, che include modifiche per migliorare la sicurezza, sviluppate dal progetto Owl e applicate in ALT Linux. Il pacchetto include anche correzioni per bloccare due vulnerabilità: la vulnerabilità in ld.so (CVE-2023-4911), che consente a un utente locale di elevate le proprie privilegi nel sistema specificando dati formattati in modo speciale nella variabile d'ambiente GLIBC_TUNABLES, e la vulnerabilità (CVE-2023-4527) nella funzione getaddrinfo, che può portare a perdite di dati dallo stack o arresti anomali. Il pacchetto è stato assemblato per la versione RHEL9.
- Il pacchetto con OpenSSH, in cui sshd è collegato a un numero ridotto di librerie condivise. Il pacchetto è stato assemblato per la versione RHEL9.
- Pacchetti correlati: pam_ssh_agent_auth, libnsl, nscd, nss_db, nss_hesiod.
Fonte: opennet.ru
