In de Linux-kernel is een kwetsbaarheid ontdekt (CVE-2022-21505) die het mogelijk maakt om het Lockdown-beveiligingsmechanisme te omzeilen, dat de toegang van de root-gebruiker tot de kernel beperkt en de omzeilingspaden voor UEFI Secure Boot blokkeert. Voor omzeiling wordt voorgesteld om de IMA (Integrity Measurement Architecture) subsysteem van de kernel te gebruiken, welke is ontworpen om de integriteit van de besturingssysteemcomponenten te controleren via digitale handtekeningen en hashes.
In de lockdown-modus wordt de toegang tot /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, de debuggingmodus van kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), sommige ACPI-interfaces en de MSR-registers van de CPU beperkt, worden aanroepen van kexec_file en kexec_load geblokkeerd, is de slaapmodus verboden, wordt het gebruik van DMA voor PCI-apparaten beperkt, is het importeren van ACPI-code vanuit EFI-variabelen verboden, en zijn manipulaties met in- en uitvoerpoorten, inclusief het wijzigen van de interruptnummers en de in- en uitvoerpoort voor seriƫle poorten, niet toegestaan.
De essentie van de kwetsbaarheid is dat bij gebruik van de opstartparameter "ima_appraise=log" het mogelijk is om kexec aan te roepen om een nieuwe kopie van de kernel te laden, als de Secure Boot-modus niet is geactiveerd en de Lockdown-modus onafhankelijk van hem wordt gebruikt. IMA voorkomt dat de "ima_appraise"-modus wordt ingeschakeld bij actieve Secure Boot, maar houdt geen rekening met de mogelijkheid om Lockdown apart van Secure Boot te gebruiken.
Bron: opennet.ru
