Linux 5.4 kernel ໄດ້ຮັບ patches ເພື່ອຈໍາກັດການເຂົ້າເຖິງຮາກກັບ kernel ພາຍໃນ

Linus Torvalds ຍອມຮັບ ລວມຢູ່ໃນການປ່ອຍທີ່ຈະມາເຖິງຂອງ Linux 5.4 kernel ແມ່ນຊຸດຂອງ patches "lockdown", ສະເໜີ David Howells (ຫມວກແດງ) ແລະ Matthew Garrett (ມັດທາຍ garrett, ເຮັດວຽກຢູ່ Google) ເພື່ອຈໍາກັດການເຂົ້າເຖິງຮາກຂອງຜູ້ໃຊ້ກັບ kernel. ຟັງຊັນທີ່ກ່ຽວຂ້ອງກັບການລັອກແມ່ນລວມຢູ່ໃນໂມດູນ LSM ທີ່ໂຫຼດໄດ້ທາງເລືອກ (ໂມດູນຄວາມປອດໄພ Linux), ເຊິ່ງວາງສິ່ງກີດຂວາງລະຫວ່າງ UID 0 ແລະ kernel, ຈໍາກັດການທໍາງານລະດັບຕ່ໍາທີ່ແນ່ນອນ.

ຖ້າຜູ້ໂຈມຕີບັນລຸການປະຕິບັດລະຫັດດ້ວຍສິດທິຂອງຮາກ, ລາວສາມາດປະຕິບັດລະຫັດຂອງຕົນໃນລະດັບ kernel, ຕົວຢ່າງ, ໂດຍການປ່ຽນ kernel ໂດຍໃຊ້ kexec ຫຼືອ່ານ / ຂຽນຫນ່ວຍຄວາມຈໍາຜ່ານ /dev/kmem. ຜົນສະທ້ອນທີ່ຊັດເຈນທີ່ສຸດຂອງກິດຈະກໍາດັ່ງກ່າວອາດຈະເປັນ ທາງອ້ອມ UEFI Secure Boot ຫຼືການດຶງຂໍ້ມູນທີ່ລະອຽດອ່ອນທີ່ເກັບໄວ້ໃນລະດັບແກ່ນ.

ໃນເບື້ອງຕົ້ນ, ຫນ້າທີ່ຈໍາກັດຮາກໄດ້ຖືກພັດທະນາໃນສະພາບການຂອງການສ້າງຄວາມເຂັ້ມແຂງການປົກປ້ອງ boot ທີ່ໄດ້ຮັບການຢັ້ງຢືນ, ແລະການແຜ່ກະຈາຍໄດ້ຖືກນໍາໃຊ້ patches ພາກສ່ວນທີສາມເພື່ອສະກັດ bypass ຂອງ UEFI Secure Boot ສໍາລັບບາງຄັ້ງ. ໃນເວລາດຽວກັນ, ຂໍ້ຈໍາກັດດັ່ງກ່າວບໍ່ໄດ້ຖືກລວມເຂົ້າໃນອົງປະກອບຕົ້ນຕໍຂອງແກ່ນເນື່ອງຈາກ ຄວາມບໍ່ເຫັນດີ ໃນການປະຕິບັດຂອງພວກເຂົາແລະຄວາມຢ້ານກົວຂອງການຂັດຂວາງລະບົບທີ່ມີຢູ່ແລ້ວ. ໂມດູນ "lockdown" ດູດເອົາແຜ່ນທີ່ຖືກນໍາໃຊ້ແລ້ວໃນການແຈກຢາຍ, ເຊິ່ງໄດ້ຖືກອອກແບບໃຫມ່ໃນຮູບແບບຂອງລະບົບຍ່ອຍແຍກຕ່າງຫາກທີ່ບໍ່ຕິດກັບ UEFI Secure Boot.

ໂໝດລັອກຈຳກັດການເຂົ້າເຖິງ /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes debug mode, mmiotrace, tracefs, BPF, PCMCIA CIS (ໂຄງສ້າງຂໍ້ມູນບັດ), ບາງສ່ວນຕິດຕໍ່ ACPI ແລະ CPU ການລົງທະບຽນ MSR, kexec_file ແລະ kexec_load ການໂທຖືກບລັອກ, ໂໝດນອນແມ່ນຫ້າມ, ຫ້າມໃຊ້ DMA ສໍາລັບອຸປະກອນ PCI, ການນໍາເຂົ້າລະຫັດ ACPI ຈາກຕົວແປ EFI ແມ່ນຫ້າມ,
ການໝູນໃຊ້ກັບພອດ I/O ແມ່ນບໍ່ອະນຸຍາດໃຫ້ໃຊ້, ລວມທັງການປ່ຽນໝາຍເລກຂັດຈັງຫວະ ແລະພອດ I/O ສຳລັບພອດ serial.

ໂດຍຄ່າເລີ່ມຕົ້ນ, ໂມດູນການລັອກບໍ່ເຄື່ອນໄຫວ, ມັນຖືກສ້າງຂື້ນເມື່ອຕົວເລືອກ SECURITY_LOCKDOWN_LSM ຖືກລະບຸໄວ້ໃນ kconfig ແລະຖືກເປີດໃຊ້ຜ່ານຕົວກໍານົດການ kernel “lockdown=”, ໄຟລ໌ຄວບຄຸມ “/sys/kernel/security/lockdown” ຫຼືທາງເລືອກການປະກອບ. LOCK_DOWN_KERNEL_FORCE_*, ເຊິ່ງສາມາດເອົາຄ່າ "ຄວາມຊື່ສັດ" ແລະ "ຄວາມລັບ". ໃນກໍລະນີທໍາອິດ, ຄຸນນະສົມບັດທີ່ອະນຸຍາດໃຫ້ມີການປ່ຽນແປງທີ່ຈະເຮັດກັບແກ່ນແລ່ນຈາກພື້ນທີ່ຂອງຜູ້ໃຊ້ໄດ້ຖືກສະກັດ, ແລະໃນກໍລະນີທີສອງ, ຫນ້າທີ່ສາມາດນໍາໃຊ້ເພື່ອສະກັດຂໍ້ມູນລະອຽດອ່ອນຈາກແກ່ນແມ່ນຖືກປິດໃຊ້ງານ.

ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະສັງເກດວ່າການປິດລ້ອມພຽງແຕ່ຈໍາກັດການເຂົ້າເຖິງມາດຕະຖານຂອງແກ່ນ, ແຕ່ບໍ່ໄດ້ປ້ອງກັນການດັດແກ້ທີ່ເປັນຜົນມາຈາກການຂູດຮີດຂອງຊ່ອງຫວ່າງ. ເພື່ອສະກັດກັ້ນການປ່ຽນແປງຕໍ່ກັບ kernel ທີ່ໃຊ້ໃນເວລາທີ່ການຂຸດຄົ້ນຖືກນໍາໃຊ້ໂດຍໂຄງການ Openwall ກຳ ລັງພັດທະນາ ໂມດູນແຍກຕ່າງຫາກ LKRG (Linux Kernel Runtime Guard).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru