È stata identificata una vulnerabilità nel kernel Linux (CVE-2022-21505) che consente di eludere facilmente il meccanismo di protezione Lockdown, il quale limita l'accesso dell'utente root al kernel e blocca i metodi di bypass del UEFI Secure Boot. Per eludere questa protezione, si propone l'uso della sottosistema IMA (Integrity Measurement Architecture) del kernel, progettato per verificare l'integrità dei componenti del sistema operativo tramite firme digitali e hash.
In modalità lockdown, viene limitato l'accesso a /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, la modalità di debug kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), ad alcune interfacce ACPI e ai registri MSR della CPU, vengono bloccate le chiamate kexec_file e kexec_load, è vietato andare in modalità standby, viene limitato l'uso del DMA per i dispositivi PCI, è vietato importare codice ACPI da variabili EFI, non sono consentite manipolazioni delle porte di input/output, incluso il cambiamento del numero di interruzione e della porta di input/output per la porta seriale.
La vulnerabilità consiste nel fatto che, utilizzando il parametro di avvio "ima_appraise=log", è possibile chiamare kexec per caricare una nuova copia del kernel se la modalità Secure Boot non è attivata e la modalità Lockdown è utilizzata separatamente. IMA non consente l'attivazione della modalità "ima_appraise" quando Secure Boot è attivo, ma non considera la possibilità di utilizzare Lockdown separatamente da Secure Boot.
Fonte: opennet.ru
