שחרור מודול LKRG 0.9.0 להגנה מפני ניצול של פגיעויות בליבת לינוקס

פרויקט Openwall פרסם את השחרור של מודול הליבה LKRG 0.9.0 (Linux Kernel Runtime Guard), שנועד לזהות ולחסום התקפות והפרות של שלמות מבני הליבה. לדוגמה, המודול יכול להגן מפני שינויים לא מורשים בקרנל הפועל וניסיונות לשנות את ההרשאות של תהליכי המשתמש (זיהוי שימוש בניצול). המודול מתאים הן לארגון הגנה מפני ניצול של פרצות ליבת לינוקס ידועות כבר (לדוגמה, במצבים בהם קשה לעדכן את הליבה במערכת), והן למניעת ניצול של פרצות שעדיין לא ידועות. קוד הפרויקט מופץ תחת רישיון GPLv2.

בין השינויים בגרסה החדשה:

• תאימות מסופקת עם ליבות לינוקס מ-5.8 עד 5.12, כמו גם עם גרעינים יציבים 5.4.87 ואילך (כולל חידושים מ-5.8 ואילך) ועם ליבות מגרסאות RHEL עד 8.4, תוך שמירה על תמיכה בכל הגרסאות הנתמכות בעבר של גרעינים, כגון גרעינים מ-RHEL 7;
• נוספה את היכולת לבנות LKRG לא רק כמודול חיצוני, אלא גם כחלק מעץ ליבת לינוקס, כולל הכללתו בתמונת הקרנל;
• נוספה תמיכה בהרבה תצורות קרנל ומערכת נוספות;
• תוקן מספר שגיאות וחסרונות משמעותיים ב-LKRG;
• היישום של חלק ממרכיבי LKRG פושט משמעותית;
• בוצעו שינויים כדי לפשט תמיכה נוספת ואיתור באגים של LKRG;
• לבדיקת LKRG, נוספה אינטגרציה עם out-of-tree ו-mkosi;
• מאגר הפרויקטים הועבר מ-BitBucket ל-GitHub ונוספה אינטגרציה מתמשכת באמצעות GitHub Actions ו-mkosi, כולל בדיקת הבנייה והטעינה של LKRG לתוך ליבות המהדורה של אובונטו, כמו גם לבנייה היומית של הגרעינים הראשיים העדכניים ביותר שסופקו על ידי פרוייקט אובונטו.

מספר מפתחים שלא היו מעורבים בעבר בפרויקט תרמו ישירות לגרסה זו של LKRG (דרך בקשות משיכה ב-GitHub). בפרט, בוריס לוקשב הוסיף את היכולת לבנות כחלק מעץ ליבת לינוקס, וויטלי צ'יקונוב מ-ALT Linux הוסיף אינטגרציה עם mkosi ו-GitHub Actions.

בסך הכל, למרות תוספות משמעותיות, מספר שורות הקוד של LKRG הצטמצם מעט בפעם השנייה ברציפות (הוא גם צומצם בעבר בין גרסאות 0.8 ל-0.8.1).

כרגע, חבילת LKRG ב-Arch Linux כבר עודכנה לגרסה 0.9.0, ומספר חבילות אחרות משתמשות בגרסאות git האחרונות של LKRG וככל הנראה יעודכנו לגרסה 0.9.0 ואילך בקרוב.

בנוסף, אנו יכולים לציין פרסום עדכני ממפתחי Aurora OS (שינוי רוסי של Sailfish OS) על חיזוק אפשרי של LKRG באמצעות ARM TrustZone.

למידע נוסף על LKRG ראה הודעת גרסה 0.8 והדיון שהתקיים אז.

מקור: OpenNet.ru