Sasha Levin z firmy NVIDIA, który opiekuje się gałęziami LTS jądra Linux i zasiada w radzie doradczej Linux Foundation, przygotował zestaw poprawek implementujących mechanizm killswitch dla jądra Linux. Proponowana funkcja umożliwia natychmiastowe wyłączenie niektórych funkcji jądra. Killswitch ma być przydatny do tymczasowego blokowania luk w zabezpieczeniach do czasu zainstalowania aktualizacji jądra z poprawką.
Funkcja Killswitch jest kontrolowana za pomocą pliku „/sys/kernel/security/killswitch/control”, który umożliwia skonfigurowanie przechwytywania wywołań funkcji jądra według ich nazw. Na przykład, aby zablokować lukę w zabezpieczeniach Copy Fail, wystarczy dodać polecenie „engage af_alg_sendmsg -1” do pliku sterującego, aby umożliwić przechwytywanie wywołania funkcji af_alg_sendmsg i zamiast tego zwrócić kod błędu „-1”.
Jako nazwy można używać dowolnych znaków obsługiwanych przez podsystem kprobes. Wiele z niedawno odkrytych poważnych luk w jądrze występuje w podsystemach używanych przez stosunkowo niewielką liczbę użytkowników (np. AF_ALG, ksmbd, nf_tables, vsock, ax25). Dla większości użytkowników niedogodności związane z utratą funkcjonalności niektórych funkcji nie są warte ryzyka korzystania z jądra ze znaną, niezałataną luką, dopóki nie zostanie zainstalowana łatka. Mechanizm killswitch jest szczególnie istotny w kontekście obecnej luki Dirty Frag, dla której opublikowano exploit przed jej usunięciem w jądrze.
Źródło: opennet.ru
