Os desenvolvedores da distribuição Rocky Linux, voltada para a criação de uma versão livre do RHEL que possa ocupar o lugar do clássico CentOS, anunciaram a criação de um novo grupo SIG (Special Interest Group) de Segurança, que se dedicará à manutenção de pacotes relacionados à oferta de proteção avançada e ao fornecimento de ferramentas adicionais para garantir a segurança. O grupo também publicará alternativas a pacotes existentes, compilados com a inclusão de diferentes mecanismos para aumentar a segurança ou corrigir vulnerabilidades que permanecem sem solução no RHEL e no CentOS Stream.
Os desenvolvimentos em andamento serão publicados em um repositório separado, que também poderá ser utilizado em outras distribuições compatíveis com o Red Hat Enterprise Linux. Para conectar-se ao repositório, no Rocky Linux já é possível usar o comando 'dnf install rocky-release-security'. No momento, o repositório oferece os seguintes pacotes:
- O módulo do núcleo LKRG (Linux Kernel Runtime Guard), destinado a identificar e bloquear ataques e violações de integridade das estruturas do núcleo (por exemplo, o módulo pode proteger contra alterações não autorizadas em um núcleo em execução e tentativas de alteração das permissões de processos de usuário). O pacote foi compilado para as versões RHEL8 e RHEL9.
- O ferramenta passwdqc para controle da complexidade de senhas e frases de senha, incluindo o módulo pam_passwdqc, e os programas pwqcheck, pwqfilter e pwqgen, além da biblioteca libpasswdqc. O pacote foi compilado para a versão RHEL9.
- Pacote com Glibc, incluindo alterações para aumentar a segurança, desenvolvidas pelo projeto Owl e aplicadas no ALT Linux. O pacote também inclui correções para bloquear duas vulnerabilidades: uma vulnerabilidade em ld.so (CVE-2023-4911), que permite que um usuário local eleve suas permissões no sistema por meio da indicação de dados especificamente formatados na variável de ambiente GLIBC_TUNABLES, e uma vulnerabilidade (CVE-2023-4527) na função getaddrinfo, que pode levar a vazamentos de dados da pilha ou falhas no sistema. O pacote foi compilado para a versão RHEL9.
- Pacote com OpenSSH, onde o sshd está vinculado a um menor número de bibliotecas compartilhadas. O pacote foi compilado para a versão RHEL9.
- Pacotes complementares: pam_ssh_agent_auth, libnsl, nscd, nss_db, nss_hesiod.
Fonte: opennet.ru
