Linux 核心 (CVE-2022-21505) 中已發現一個漏洞，可輕鬆繞過鎖定安全機制，該機制限制根用戶對核心的存取並阻止 UEFI 安全啟動繞過路徑。 為了繞過它，建議使用 IMA（完整性測量架構）核心子系統，該子系統旨在使用數位簽章和雜湊來驗證作業系統元件的完整性。
鎖定模式限制對/dev/mem、/dev/kmem、/dev/port、/proc/kcore、debugfs、kprobes 偵錯模式、mmiotrace、tracefs、BPF、PCMCIA CIS（卡片資訊結構）、某些ACPI 介面和CPU的存取MSR 暫存器、kexec_file 和 kexec_load 呼叫被阻止、睡眠模式被禁止、PCI 裝置的 DMA 使用受到限制、禁止從 EFI 變數匯入 ACPI 程式碼、不允許對 I/O 連接埠進行操作，包括更改中斷號碼和連接埠 I /O 表示串行埠。
漏洞的本質是，當使用「ima_appraise=log」啟動參數時，如果系統中未啟動安全啟動模式並且單獨使用鎖定模式，則可以呼叫 kexec 載入新的核心副本從中。 IMA 不允許在安全啟動處於活動狀態時啟用「ima_appraise」模式，但沒有考慮與安全啟動分開使用鎖定的可能性。
來源： opennet.ru