È stata rilevata una vulnerabilità nel nucleo Linux (CVE-2022-21505) che consente di aggirare facilmente il meccanismo di protezione Lockdown, il quale limita l'accesso dell'utente root al nucleo e blocca le vie di bypass del UEFI Secure Boot. Per evitare questa limitazione, si propone l'uso della sottosistema IMA (Integrity Measurement Architecture) del nucleo, progettata per verificare l'integrità dei componenti del sistema operativo tramite firme digitali e hash.
In modalità lockdown, l'accesso a /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, la modalità di debug kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), alcune interfacce ACPI e ai registri MSR della CPU è limitato; vengono bloccate le chiamate a kexec_file e kexec_load, è vietato il passaggio in modalità sleep, è limitato l'uso del DMA per i dispositivi PCI, è vietato l'import di codice ACPI da variabili EFI e non sono permesse operazioni sui porti di input/output, comprese le modifiche al numero di interruzione e al porto di input/output per la porta seriale.
La vulnerabilità consiste nel fatto che, utilizzando il parametro di avvio ‘ima_appraise=log’, è possibile chiamare kexec per caricare una nuova copia del nucleo se il sistema non ha attivato la modalità Secure Boot e la modalità Lockdown è utilizzata separatamente. IMA non consente di attivare la modalità ‘ima_appraise’ quando Secure Boot è attivo, ma non tiene conto della possibilità di utilizzare Lockdown separatamente da Secure Boot.
Fonte: opennet.ru
