Gli sviluppatori della distribuzione Rocky Linux, mirata a creare una versione libera di RHEL in grado di occupare il posto del classico CentOS, hanno annunciato la creazione di un nuovo gruppo SIG (Special Interest Group) dedicato alla Sicurezza, che si occuperà della gestione dei pacchetti legati all'offerta di protezione avanzata e alla fornitura di strumenti aggiuntivi per garantire la sicurezza. Il gruppo pubblicherà anche varianti alternative dei pacchetti esistenti, compilati con l'inclusione di vari meccanismi per aumentare la sicurezza o che risolvano vulnerabilità non corrette in RHEL e CentOS Stream.
I risultati in sviluppo saranno pubblicati in un repository separato, che potrà essere utilizzato anche in altre distribuzioni compatibili con Red Hat Enterprise Linux. Per collegare il repository in Rocky Linux è già possibile utilizzare il comando «dnf install rocky-release-security». Attualmente, nel repository sono offerti i seguenti pacchetti:
- Il modulo del kernel LKRG (Linux Kernel Runtime Guard), progettato per rilevare e bloccare attacchi e violazioni dell'integrità delle strutture del kernel (ad esempio, il modulo può proteggere da modifiche non autorizzate al kernel in esecuzione e tentativi di alterare le autorizzazioni dei processi utente). Il pacchetto è stato compilato per i rami RHEL8 e RHEL9.
- Lo strumento passwdqc per il controllo della complessità delle password e delle frasi di password, che include il modulo pam_passwdqc, i programmi pwqcheck, pwqfilter e pwqgen, oltre alla libreria libpasswdqc. Il pacchetto è stato compilato per il ramo RHEL9.
- Un pacchetto con Glibc, che include modifiche per rafforzare la sicurezza, sviluppate dal progetto Owl e applicate in ALT Linux. Il pacchetto include anche correzioni per bloccare due vulnerabilità: una vulnerabilità in ld.so (CVE-2023-4911), che consente a un utente locale di aumentare le proprie privilegi di sistema specificando dati opportunamente formattati nella variabile di ambiente GLIBC_TUNABLES, e una vulnerabilità (CVE-2023-4527) nella funzione getaddrinfo, che può portare a perdite di dati dallo stack o a un arresto anomalo. Il pacchetto è stato compilato per il ramo RHEL9.
- Un pacchetto con OpenSSH, in cui sshd è collegato a un numero ridotto di librerie condivise. Il pacchetto è stato compilato per il ramo RHEL9.
- Pacchetti associati: pam_ssh_agent_auth, libnsl, nscd, nss_db, nss_hesiod.
Fonte: opennet.ru
