A Grsecurity projekt fejlesztői közzétett információkat a biztonsági kérdésekről hogy megtalálták a Linux kernel biztonságának javítását javasolja a Huawei alkalmazottja által, egy triviálisan kihasznált biztonsági rés jelenléte a javító készletben HKSP (Huawei Kernel önvédelem).
Ezeket a „HKSP” javításokat egy Huawei alkalmazott tette közzé 5 napja. Ezek tartalmazzák a Huawei megemlítését a GitHub profilban, és a Huawei szót használják a projektnév dekódolásakor (HKSP - Huawei Kernel Self Protection), annak ellenére, hogy emplado megemlíti, hogy a projektnek semmi köze a céghez, és sajátja.
Ez a projekt a szabadidőmben végezte a kutatásomat, a hksp nevet magam adtam, nem kapcsolódik a Huawei céghez, nincs olyan Huawei termék, amely ezt a kódot használja.
Ezt a javító kódot én hoztam létre, mivel egy embernek nincs annyi energiája, hogy mindent lefedjen. Ezért hiányzik a minőségbiztosítás, például a felülvizsgálat és a teszt.
A HKSP-ről
A HKSP tartalmazza változások, például a struktúra kompromisszumok, névtér támadások védelme Felhasználói azonosító (pid névtér), folyamat verem szétválasztása mmap terület, kfree funkció kettős hívásérzékelés, szivárgás blokkolás pseudo-FS / proc (/ proc / {modulok, kulcsok, kulcsfelhasználók}, / proc / sys / kernel * és / proc / sys / vm / mmap_min_addr, / proc / kallsyms), a címek jobb randomizálása a felhasználói térben, a Ptrace további védelme, a smap és a smep jobb védelme, az adatok nyers socketeken keresztüli küldésének megtiltása, címek blokkolása Érvénytelen az UDP foglalatokban és ellenőrzésekben, valamint a futó folyamatok integritásában.
A keretrendszer tartalmazza a Ksguard kernelmodult is, amelynek célja a tipikus rootkitek bevezetésére tett kísérletek azonosítása.
A tapaszok felkeltették az érdeklődést Greg Kroah-Hartman iránt, aki a Linux kernel stabil ágának fenntartásáért felelős, ki fogja felkérte a szerzőt, hogy az áttekintés egyszerűsítése érdekében ossza fel a monolit tapaszt részekre és a központi összetétel előléptetése.
Kees Cook (Kees Cook), az aktív védelmi technológiát népszerűsítő projekt vezetője a Linux kernelben szintén pozitívan nyilatkozott a javításokról, és a kérdések felhívták a figyelmet az x86 architektúrára és sok olyan mód értesítésének jellegére, amelyek csak rögzítenek információkat a problémáról, de ne próbálja blokkolni.
A Grsecurity fejlesztők javító tanulmánya számos hibát és gyengeséget tárt fel a kódban Ez azt is kimutatta, hogy nincs olyan fenyegetési modell, amely lehetővé tenné a projekt kapacitásának megfelelő értékelését.
Annak illusztrálására, hogy a kódot biztonságos programozási módszerek nélkül írták, Triviális sebezhetőségre mutat példát a / proc / ksguard / state fájlkezelő, amely 0777 engedélyekkel jön létre, ami azt jelenti, hogy mindenkinek van írási hozzáférése.
A / proc / ksguard / state fájlban írt parancsok elemzésére használt ksg_state_write függvény létrehoz egy tmp puffert [32], amelyben az adatokat az átadott operandus nagysága alapján írják, a cél puffer méretének figyelembevétele nélkül és ellenőrzés nélkül. a paraméter a karakterlánc méretével. Más szavakkal, a kernel verem egy részének felülírásához a támadónak csak egy speciálisan kialakított sort kell írnia a / proc / ksguard / state fájlba.
Válasz érkezésekor a fejlesztő megjegyzést fűzött a „HKSP” projekt GitHub oldalához A biztonsági rés felfedezése után visszamenőlegesen megjegyzést fűzött hozzá, hogy a projekt a kutatás számára szabadidejében halad.
Köszönet a biztonsági csapatnak, hogy sok hibát talált ebben a javításban.
A ksg_guard egy mintabit a rootkitek kernel szintű észleléséhez, a felhasználói és a kernel kommunikáció elindítja a proc felületet, a forrásom célja az ötlet gyors ellenőrzése, így nem adok hozzá elegendő biztonsági ellenőrzést.Valójában a rootkit kernel szintű ellenőrzését még mindig meg kell vitatnia a közösséggel, ha szükség van egy ARK (anti rootkit) eszköz tervezésére Linux rendszerhez ...