Sasha Levin di NVIDIA, responsabile della manutenzione delle versioni LTS del kernel Linux e membro del consiglio consultivo della Linux Foundation, ha preparato un insieme di patch che implementano un meccanismo killswitch per il kernel Linux. Questa funzionalità proposta consente di disattivare immediatamente l'accesso a determinate funzionalità del kernel in esecuzione. Si prevede che il killswitch sarà utile per il blocco temporaneo delle vulnerabilità fino all'installazione di un aggiornamento del kernel con la correzione.
La gestione del killswitch avviene tramite il file "/sys/kernel/security/killswitch/control", che consente di configurare l'intercettazione delle chiamate alle funzioni del kernel per nome. Ad esempio, per bloccare la vulnerabilità Copy Fail, basta scrivere nel file di controllo il comando "engage af_alg_sendmsg -1" per attivare l'intercettazione della chiamata alla funzione af_alg_sendmsg e restituire invece il codice di errore "-1".
Possono essere utilizzati qualsiasi carattere supportato dal sottosistema kprobes come nomi. Molte delle recenti vulnerabilità gravi trovate nel kernel sono presenti in sottosistemi utilizzati da un numero relativamente ridotto di utenti (ad esempio, AF_ALG, ksmbd, nf_tables, vsock, ax25). Per la maggior parte degli utenti, l'inconveniente di una funzionalità disattivata non è paragonabile al rischio di utilizzare un kernel con una vulnerabilità nota e non corretta fino al rilascio della patch. Il meccanismo killswitch è particolarmente rilevante nel contesto dell'attuale vulnerabilità Dirty Frag, il cui exploit è stato pubblicato prima che il problema fosse risolto nel kernel.
Fonte: opennet.ru
