리눅스 커널의 취약한 기능을 긴급하게 비활성화하는 킬스위치가 제안되었습니다.

NVIDIA의 사샤 레빈은 리눅스 커널의 LTS 브랜치를 관리하고 리눅스 재단의 자문 위원으로 활동하고 있으며, 리눅스 커널용 킬스위치 메커니즘을 구현하는 패치 세트를 준비했습니다. 이 기능은 특정 커널 기능을 즉시 비활성화할 수 있도록 합니다. 킬스위치는 취약점을 해결하는 커널 업데이트가 설치될 때까지 일시적으로 취약점을 차단하는 데 유용할 것으로 예상됩니다.

킬스위치는 "/sys/kernel/security/killswitch/control" 파일을 통해 제어되며, 이 파일을 사용하면 커널 함수 호출을 이름으로 가로채도록 설정할 수 있습니다. 예를 들어, 복사 실패 취약점을 차단하려면 제어 파일에 "engage af_alg_sendmsg -1" 명령어를 추가하여 af_alg_sendmsg 함수 호출을 가로채고 오류 코드 "-1"을 반환하도록 설정하면 됩니다.

kprobes 서브시스템에서 지원하는 모든 문자를 이름으로 사용할 수 있습니다. 최근 발견된 심각한 커널 취약점 중 상당수는 비교적 적은 수의 사용자가 이용하는 서브시스템(예: AF_ALG, ksmbd, nf_tables, vsock, ax25)에 존재합니다. 대부분의 사용자에게는 특정 기능의 손실로 인한 불편함이 패치가 설치될 때까지 알려진 패치가 적용되지 않은 취약점이 있는 커널을 사용하는 위험을 감수할 만큼 가치가 없습니다. 킬스위치 메커니즘은 특히 현재의 Dirty Frag 취약점과 관련하여 중요한데, 이 취약점은 커널에서 수정되기 전에 익스플로잇이 공개되었습니다.

출처 : opennet.ru