Sasha Levin frÄn NVIDIA, som arbetar med underhÄll av LTS-grenar i Linux-kÀrnan och Àr medlem i Linux Foundations rÄdgivande rÄd, har förberett en uppsÀttning patchar med implementeringen av en killswitch-mekanism för Linux-kÀrnan. Den föreslagna funktionen möjliggör omedelbar avstÀngning av tillgÄngen till viss funktionalitet i den körande kÀrnan. Det antas att killswitch kommer att vara anvÀndbar för att tillfÀlligt blockera sÄrbarheter tills en kÀrnuppdatering med en fix har installerats.
Styrningen av killswitch sker genom filen "/sys/kernel/security/killswitch/control", som möjliggör konfiguration av avlyssning av kÀrnfunktioner baserat pÄ deras namn. Till exempel, för att blockera sÄrbarheten Copy Fail, rÀcker det med att skriva kommandot "engage af_alg_sendmsg -1" i kontrollfilen för att aktivera avlyssning av funktionen af_alg_sendmsg och istÀllet för att utföra den returnera felkoden "-1".
Vilka tecken som helst som stöds av kprobe-subsystemet kan anvÀndas som namn. MÄnga av de nyligen upptÀckta allvarliga sÄrbarheterna i kÀrnan förekommer i subsystem som anvÀnds av ett relativt litet antal anvÀndare (till exempel AF_ALG, ksmbd, nf_tables, vsock, ax25). För de flesta anvÀndare Àr det obekvÀmt att vissa funktioner slutar fungera, men detta vÀger lÀtt mot risken att anvÀnda en kÀrna med kÀnda obotade sÄrbarheter tills en fix har installerats. Killswitch-mekanismen Àr sÀrskilt relevant i kontexten av dagens sÄrbarhet Dirty Frag, vars exploit publicerades innan problemet ÄtgÀrdades i kÀrnan.
KĂ€lla: opennet.ru
