Sasha Levin z NVIDIA, ktorý sa zaoberá údržbou LTS-vetiev jadra Linux a je členom poradného výboru Linux Foundation, pripravil súbor záplat na implementáciu mechanizmu killswitch pre jadro Linux. Navrhnutá možnosť umožňuje okamžite zakázať prístup k určitej funkčnosti bežiaceho jadra. Predpokladá sa, že killswitch bude užitočný na dočasné zablokovanie zraniteľností, kým sa nainštaluje aktualizácia jadra s opravou.
Správa killswitch sa vykonáva cez súbor „/sys/kernel/security/killswitch/control“, ktorý umožňuje nastaviť zachytávanie volaní funkcií jadra podľa ich názvov. Napríklad na blokovanie zraniteľnosti Copy Fail stačí zapísať do ovládacieho súboru príkaz „engage af_alg_sendmsg -1“ na aktiváciu zachytávania volania funkcie af_alg_sendmsg a namiesto jej vykonávania vrátiť kód chyby „-1“.
Ako názvy môžu byť použité akékoľvek znaky podporované subsystémom kprobes. Mnoho nedávno objavených vážnych zraniteľností v jadre sa nachádza v subsystémoch, ktoré používajú relatívne malý počet používateľov (napríklad AF_ALG, ksmbd, nf_tables, vsock, ax25). Pre väčšinu používateľov je nepríjemnosť z ukončenia funkčnosti jednotlivých funkcií zanedbateľná v porovnaní s rizikom používania jadra so známou neopravenou zraniteľnosťou, kým sa nenainštaluje oprava. Mechanizmus killswitch je obzvlášť aktuálny v kontexte súčasnej zraniteľnosti Dirty Frag, exploit pre ktorú bol zverejnený skôr, než bola problém vyriešený v jadre.
Zdroj: opennet.ru
