Sasha Levin da NVIDIA, que cuida das branches LTS do núcleo do Linux e é membro do conselho consultivo da Linux Foundation, preparou um conjunto de patches para implementar o mecanismo killswitch no núcleo do Linux. A funcionalidade proposta permite desativar instantaneamente o acesso a determinadas funcionalidades do núcleo em execução. Espera-se que o killswitch seja útil para bloquear temporariamente vulnerabilidades até que uma atualização do núcleo com a correção seja instalada.
O gerenciamento do killswitch é feito através do arquivo "/sys/kernel/security/killswitch/control", que permite configurar a interceptação de chamadas de funções do núcleo pelos seus nomes. Por exemplo, para bloquear a vulnerabilidade Copy Fail, basta escrever no arquivo de controle o comando "engage af_alg_sendmsg -1" para ativar a interceptação da chamada da função af_alg_sendmsg e, em vez de sua execução, retornar o código de erro "-1".
Qualquer caractere suportado pelo subsistema kprobes pode ser usado como nome. Muitas das vulnerabilidades sérias recentemente encontradas no núcleo estão presentes em subsistemas utilizados por um número relativamente pequeno de usuários (por exemplo, AF_ALG, ksmbd, nf_tables, vsock, ax25). Para a maioria dos usuários, o inconveniente causado pela interrupção de funções específicas não se compara ao risco de trabalhar com um núcleo que possui uma vulnerabilidade conhecida não corrigida até que a correção seja instalada. O mecanismo killswitch é especialmente relevante no contexto da vulnerabilidade Dirty Frag, cujo exploit foi publicado antes que o problema fosse resolvido no núcleo.
Fonte: opennet.ru
