ליבת לינוקס 5.4 קיבלה תיקונים כדי להגביל את גישת השורש לחלק הפנימי של הליבה

לינוס טורבלדס קיבל את כלולה במהדורה הקרובה של ליבת לינוקס 5.4 היא סט של תיקונים "נעילה", מוּצָע דיוויד האוולס (רד האט) ומתיו גארט (מתיו גארט, עובד ב-Google) כדי להגביל את גישת משתמש שורש לקרנל. פונקציונליות הקשורה לנעילה כלולה במודול LSM שנטען אופציונלי (מודול אבטחה של לינוקס), שמציב מחסום בין UID 0 לבין הליבה, המגביל פונקציונליות מסוימת ברמה נמוכה.

אם תוקף משיג ביצוע קוד עם זכויות שורש, הוא יכול להפעיל את הקוד שלו ברמת הליבה, למשל, על ידי החלפת הליבה באמצעות kexec או זיכרון קריאה/כתיבה באמצעות /dev/kmem. התוצאה הברורה ביותר של פעילות כזו עשויה להיות לַעֲקוֹף UEFI Secure Boot או אחזור נתונים רגישים המאוחסנים ברמת הליבה.

בתחילה, פונקציות הגבלת שורש פותחו בהקשר של חיזוק ההגנה על אתחול מאומת, והפצות משתמשות בתיקונים של צד שלישי כדי לחסום עקיפת UEFI Secure Boot כבר זמן רב. יחד עם זאת, הגבלות כאלה לא נכללו בהרכב העיקרי של הגרעין בשל חילוקי דעות ביישומם וחששות משיבוש מערכות קיימות. מודול ה"נעילה" ספג תיקונים שכבר היו בשימוש בהפצות, שעוצבו מחדש בצורה של תת-מערכת נפרדת שאינה קשורה ל-UEFI Secure Boot.

מצב נעילה מגביל את הגישה ל-/dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes mode debug, mmiotrace, tracefs, BPF, PCMCIA CIS (מבנה מידע כרטיס), כמה ממשקי ACPI ו-CPU אוגרי MSR, שיחות kexec_file ו-kexec_load חסומות, מצב שינה אסור, השימוש ב-DMA עבור התקני PCI מוגבל, יבוא קוד ACPI ממשתני EFI אסור,
מניפולציות עם יציאות I/O אינן מותרות, כולל שינוי מספר ההפסקה ויציאת I/O עבור היציאה הטורית.

כברירת מחדל, מודול הנעילה אינו פעיל, הוא נבנה כאשר האפשרות SECURITY_LOCKDOWN_LSM מצוינת ב-kconfig ומופעלת באמצעות פרמטר הליבה "lockdown=", קובץ הבקרה "/sys/kernel/security/lockdown" או אפשרויות הרכבה LOCK_DOWN_KERNEL_FORCE_*, שיכול לקחת את הערכים "יושרה" ו"סודיות". במקרה הראשון נחסמות תכונות המאפשרות לבצע שינויים בקרנל הפועל ממרחב המשתמש, ובמקרה השני מושבתת גם פונקציונליות שניתן להשתמש בה כדי לחלץ מידע רגיש מהקרנל.

חשוב לציין כי הנעילה רק מגבילה את הגישה הסטנדרטית לקרנל, אך אינה מגינה מפני שינויים כתוצאה מניצול נקודות תורפה. כדי לחסום שינויים בליבה הפועלת כאשר מנצלים את פרויקט Openwall מתפתח מודול נפרד LKRG (Linux Kernel Runtime Guard).

מקור: OpenNet.ru