{"id":142366,"date":"2025-09-05T11:11:57","date_gmt":"2025-09-05T09:11:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-lkrg-1-0-0-dlya-zashhity-ot-ekspluataczii-uyazvimostej-v-yadre-linux"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"vypusk-lkrg-1-0-0-dlya-zashhity-ot-ekspluataczii-uyazvimostej-v-yadre-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/vypusk-lkrg-1-0-0-dlya-zashhity-ot-ekspluataczii-uyazvimostej-v-yadre-linux","title":{"rendered":"Wydanie LKRG 1.0.0 w celu ochrony przed wykorzystaniem luk w j\u0105drze Linuxa","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Projekt Openwall opublikowa\u0142 modu\u0142 j\u0105dra LKRG 1.0.0 (Linux Kernel Runtime Guard), kt\u00f3ry ma na celu weryfikacj\u0119 integralno\u015bci struktur j\u0105dra oraz wykrywanie pr\u00f3b wykorzystania luk w j\u0105drze. Zauwa\u017cono, \u017ce nadanie numeru wersji 1.0.0 oznacza osi\u0105gni\u0119cie dojrza\u0142ego stanu projektu. Kod projektu jest dost\u0119pny na licencji GPLv2. <\/p>\n

Modu\u0142 nadaje si\u0119 zar\u00f3wno do ochrony przed atakami<\/a>, manipuluj\u0105cymi ju\u017c znanymi lukami w j\u0105drze Linux, jak i do przeciwdzia\u0142ania exploitom, kt\u00f3re wykorzystuj\u0105 jeszcze nieznane luki, je\u015bli nie zostan\u0105 zastosowane specjalne \u015brodki omijaj\u0105ce LKRG. Ochrona opiera si\u0119 na wykrywaniu nieautoryzowanej modyfikacji dzia\u0142aj\u0105cego j\u0105dra (weryfikacja integralno\u015bci) oraz monitorowaniu zmian uprawnie\u0144 proces\u00f3w u\u017cytkownik\u00f3w (okre\u015blenie zastosowania exploit\u00f3w). <\/p>\n

Weryfikacja integralno\u015bci odbywa si\u0119 na podstawie por\u00f3wnania skr\u00f3t\u00f3w obliczanych dla najbardziej istotnych obszar\u00f3w pami\u0119ci i struktur danych rdzenia, takich jak IDT (Tabela Opis\u00f3w Przerwa\u0144), MSR, tabele wywo\u0142a\u0144 systemowych, wszystkie procedury i funkcje, obs\u0142ugiwacze przerwa\u0144, listy za\u0142adowanych modu\u0142\u00f3w, zawarto\u015b\u0107 sekcji modu\u0142\u00f3w oraz atrybuty proces\u00f3w. Procedura weryfikacji jest aktywowana okresowo na podstawie timera lub w momencie wyst\u0105pienia okre\u015blonych zdarze\u0144 w j\u0105drze, na przyk\u0142ad podczas wykonywania wywo\u0142a\u0144 systemowych setuid, setreuid, fork, exit, execve i do_init_module. <\/p>\n

Wykrywanie mo\u017cliwego zastosowania exploit\u00f3w oraz blokowanie atak\u00f3w odbywa si\u0119 na etapie przed przyznaniem przez j\u0105dro dost\u0119pu do zasob\u00f3w (na przyk\u0142ad przed otwarciem pliku), lecz po uzyskaniu przez proces nieautoryzowanych uprawnie\u0144 (na przyk\u0142ad zmiana UID). W przypadku wykrycia nieautoryzowanego zachowania proces\u00f3w, nast\u0119puje ich wymuszone zako\u0144czenie, co jest wystarczaj\u0105ce do zablokowania wielu exploit\u00f3w. Koszty zwi\u0105zane z dzia\u0142aniem modu\u0142u szacowane s\u0105 na 2-2,5%. <\/p>\n

Obs\u0142uguje dzia\u0142anie na systemach z architekturami x86-64, AArch64 (ARM64), ARM32 i x86. Dzia\u0142anie LKRG 1.0.0 zosta\u0142o przetestowane z j\u0105drami z r\u00f3\u017cnych dystrybucji, pocz\u0105wszy od j\u0105dra 3.10 z RHEL\/CentOS 7 a\u017c do 6.17-rc4 z repozytorium, w kt\u00f3rym przygotowywana jest wersja Fedora 44. Pakiety s\u0105 dost\u0119pne dla dystrybucji ALT Linux, Arch Linux, Astra Linux, Gentoo, Guix, NixOS, Rocky Linux, Whonix, Yocto i OpenBMC. Pakiety zbudowane dla Rocky Linux mo\u017cna u\u017cywa\u0107 w RHEL 8\/9 oraz pochodnych dystrybucjach, takich jak AlmaLinux 8\/9, a pakiety dla Whonix w Debianie i Ubuntu. <\/p>\n

W\u015br\u00f3d zmian w nowej wersji: <\/p>\n