W jądrze Linux zidentyfikowano podatność (CVE-2022-21505), która umożliwia łatwe ominięcie mechanizmu zabezpieczeń Lockdown, ograniczającego dostęp użytkownika root do jądra oraz blokującego drogi ominięcia UEFI Secure Boot. Aby to obejść, proponuje się wykorzystanie podsystemu jądra IMA (Integrity Measurement Architecture), zaprojektowanego do sprawdzania integralności komponentów systemu operacyjnego za pomocą podpisów cyfrowych i skrótów.
W trybie lockdown ogranicza się dostęp do /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, trybu debugowania kprobes, mmiotrace, tracefs, BPF, ACPI CIS (Card Information Structure), niektórych interfejsów ACPI oraz rejestrom MSR CPU. Blokowane są wywołania kexec_file i kexec_load, zabrania się przechodzenia w tryb uśpienia, ogranicza się użycie DMA dla urządzeń PCI, zabrania się importu kodu ACPI z zmiennych EFI, a także manipulacji z portami wejścia/wyjścia, w tym zmiany numeru przerwania i portu wejścia/wyjścia dla portu szeregowego.
Istota podatności polega na tym, że przy użyciu parametru rozruchowego "ima_appraise=log" dopuszcza się wywołanie kexec do załadowania nowej kopii jądra, jeśli tryb Secure Boot nie jest aktywowany, a tryb Lockdown jest używany niezależnie od niego. IMA nie dopuszcza włączenia trybu "ima_appraise" przy aktywnym Secure Boot, ale nie uwzględnia możliwości wykorzystania Lockdown oddzielnie od Secure Boot.
Źródło: opennet.ru
