Uma vulnerabilidade foi identificada no núcleo do Linux (CVE-2022-21505), permitindo contornar facilmente o mecanismo de proteção Lockdown, que restringe o acesso do usuário root ao núcleo e bloqueia as maneiras de contornar o UEFI Secure Boot. Para essa contorno, sugere-se usar a subsistema IMA (Integrity Measurement Architecture) do núcleo, projetada para verificar a integridade dos componentes do sistema operacional por meio de assinaturas digitais e hashes.
No modo lockdown, o acesso a /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, modo de depuração kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), algumas interfaces ACPI e registros MSR da CPU é restrito, chamadas kexec_file e kexec_load são bloqueadas, a entrada em modo de suspensão é proibida, o uso de DMA para dispositivos PCI é limitado, a importação de código ACPI a partir de variáveis EFI é proibida, e a manipulação de portas de entrada/saída, incluindo a alteração do número de interrupção e porta de entrada/saída para a porta serial, não é permitida.
A essência da vulnerabilidade é que, ao usar o parâmetro de inicialização "ima_appraise=log", é permitida a chamada kexec para carregar uma nova cópia do núcleo, se o modo Secure Boot não estiver ativado e o modo Lockdown for usado independentemente dele. O IMA não permite a ativação do modo "ima_appraise" quando o Secure Boot está ativo, mas não considera a possibilidade de usar o Lockdown separado do Secure Boot.
Fonte: opennet.ru
