Näinä päivinä, jotka ovat kuluneet kuun alusta, useita haavoittuvuuksia, jotka vaikuttavat ytimeen, on paljastettu Linuxista ja että jotkin niistä antavat sinun ohittaa estorajoitukset.
Erilaisten paljastettujen haavoittuvuuksien joukossa, osa niistä johtuu jo vapautettujen muistialueiden käyttämisestä ja antaa paikallisen käyttäjän nostaa oikeuksiaan järjestelmässä. Kaikille tarkastetuille ongelmille on luotu toimivia hyödyntämisprototyyppejä, jotka julkaistaan viikon kuluttua haavoittuvuustietojen julkaisemisesta.
Yksi haavoittuvuuksista, joka kiinnittää huomiota on (CVE-2022-21505), joka voisi helposti ohittaa lukitusturvamekanismin, joka rajoittaa pääkäyttäjän pääsyä ytimeen ja estää UEFI Secure Boot -ohituspolut. Kiertämiseksi ehdotetaan käytettäväksi IMA (Integrity Measurement Architecture) -ytimen alijärjestelmää, joka on suunniteltu tarkistamaan käyttöjärjestelmän komponenttien eheys käyttämällä digitaalisia allekirjoituksia ja hajautusarvoja.
Lukitus rajoittaa pääsyä tiedostoihin /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes debug mode, mmiotrace, tracefs, BPF, PCMCIA CIS (korttitietorakenne), joihinkin ACPI- ja CPU MSR:iin. rajapinnat, estää kexec_file- ja kexec_load-kutsut, estää lepotilan, rajoittaa DMA:n käyttöä PCI-laitteissa, estää ACPI-koodin tuomisen EFI-muuttujista, estää I/O-portin peukaloinnin, mukaan lukien sarjaportin keskeytysnumeron ja I/O-portin muuttamisen .
Haavoittuvuuden ydin on kun käytä käynnistysparametria "ima_appraise=log", salli kexecin kutsumisen ladata uusi kopio ytimestä jos Secure Boot -tila ei ole aktiivinen järjestelmässä ja lukitustilaa käytetään erikseen, eikä se salli "ima_appraise"-tilan ottamista käyttöön, kun suojattu käynnistys on aktiivinen, mutta se ei salli lukituksen käyttöä erillään suojatusta käynnistyksestä.
Niistä muita paljastettuja haavoittuvuuksia näiden päivien aikana ja jotka erottuvat muiden joukosta, ovat seuraavat:
- CVE-2022-2588: cls_route-suodattimen toteutuksen haavoittuvuus, jonka aiheutti virhe, jossa vanhaa suodatinta ei poistettu hajautustaulukosta ennen kuin muisti tyhjennettiin nollakuvaajan käsittelyn aikana. Haavoittuvuus on ollut olemassa ainakin versiosta 2.6.12-rc2 lähtien (2.6.12-rc2 on Gitin ensimmäinen julkaisu. Suurin osa koodista, jonka git merkitsee tähän julkaisuun lisätyksi, on itse asiassa "esihistoriallista", eli lisätty BitKeeperin päivinä tai sitä aikaisemmin.) Hyökkäys vaatii CAP_NET_ADMIN-oikeuksia, jotka voidaan hankkia, jos sinulla on pääsy verkon nimiavaruuksien (verkon nimiavaruuden) tai käyttäjätunnisteen nimiavaruuksien (käyttäjänimiavaruuden) luomiseen. Suojauskorjauksena voit poistaa cls_route-moduulin käytöstä lisäämällä rivin "install cls_route /bin/true" tiedostoon modprobe.conf.
- CVE-2022-2586: haavoittuvuus netfilter-alijärjestelmässä nf_tables-moduulissa, joka tarjoaa nftables-pakettisuodattimen. Ongelma johtuu siitä, että nft-objekti voi viitata toiseen taulukkoon asetettuun luetteloon, mikä johtaa vapautuneeseen muistialueeseen, kun taulukko on pudotettu. haavoittuvuus se on ollut olemassa versiosta 3.16-rc1 lähtien. Hyökkäys vaatii CAP_NET_ADMIN-oikeuksia, jotka voidaan hankkia, jos sinulla on pääsy verkon nimiavaruuksien (verkon nimiavaruuden) tai käyttäjätunnisteen nimiavaruuksien (käyttäjänimiavaruuden) luomiseen.
- CVE-2022-2585: on POSIX-suorittimen ajastimen haavoittuvuus, jossa ajastimen rakenne pysyy luettelossa, kun sitä kutsutaan ei-johtavasta säikeestä, vaikka varattu muisti tyhjennetään. Haavoittuvuus on ollut olemassa versiosta 3.16-rc1 lähtien.
On syytä mainita se kuvattuihin haavoittuvuuksiin on jo lähetetty korjauksia virheistä Linux-ytimen kehittäjille ja joihin on jo saapunut joitakin olennaisia korjauksia korjauspäivitysten muodossa.