취약한 커널 기능을 긴급하게 비활성화하기 위한 킬스위치가 제안되었습니다. Linux

NVIDIA의 Sasha Levin은 LTS 커널 브랜치를 관리합니다. Linux 그리고 해당 조직의 자문 위원회 위원입니다. Linux 재단은 커널용 킬스위치 메커니즘 구현을 포함한 일련의 패치를 준비했습니다. Linux제안된 기능은 실행 중인 커널의 특정 기능에 대한 접근을 즉시 차단할 수 있도록 합니다. 킬스위치는 취약점을 해결하는 커널 업데이트가 설치될 때까지 일시적으로 취약점을 차단하는 데 유용할 것으로 예상됩니다.

킬스위치는 "/sys/kernel/security/killswitch/control" 파일을 통해 제어되며, 이 파일을 사용하면 커널 함수 호출을 이름으로 가로채도록 설정할 수 있습니다. 예를 들어, 복사 실패 취약점을 차단하려면 제어 파일에 "engage af_alg_sendmsg -1" 명령어를 추가하여 af_alg_sendmsg 함수 호출을 가로채고 오류 코드 "-1"을 반환하도록 설정하면 됩니다.

kprobes 서브시스템에서 지원하는 모든 문자를 이름으로 사용할 수 있습니다. 최근 발견된 심각한 커널 취약점 중 상당수는 비교적 적은 수의 사용자가 이용하는 서브시스템(예: AF_ALG, ksmbd, nf_tables, vsock, ax25)에 존재합니다. 대부분의 사용자에게는 특정 기능의 손실로 인한 불편함이 패치가 설치될 때까지 알려진 패치가 적용되지 않은 취약점이 있는 커널을 사용하는 위험을 감수할 만큼 가치가 없습니다. 킬스위치 메커니즘은 특히 현재의 Dirty Frag 취약점과 관련하여 중요한데, 이 취약점은 커널에서 수정되기 전에 익스플로잇이 공개되었습니다.

출처 : opennet.ru