„Grsecurity“ projekto kūrėjai paskelbė informaciją saugumo klausimais kad buvo rasta siūlomame „Huawei“ darbuotojo patobulintame „Linux“ branduolio saugume, pleistrų rinkinyje yra trivialiai išnaudotas pažeidžiamumas HKSP („Huawei“ branduolio savisauga).
Šiuos „HKSP“ pleistrus „Huawei“ darbuotojas paskelbė prieš 5 dienas. Juose „Huawei“ paminima „GitHub“ profilyje ir naudojamas žodis „Huawei“ dekoduojant projekto pavadinimą (HKSP - „Huawei Kernel Self Protection“), nors emplado užsimena, kad projektas neturi nieko bendra su įmone ir yra jo paties.
Šis projektas mano tyrimus atliko laisvalaikiu, hksp pavadinimą suteikiau aš pats, jis nėra susijęs su „Huawei“ įmone, nėra nė vieno „Huawei“ produkto, kuris naudotų šį kodą.
Šį pleistro kodą sukūriau aš, nes vienam žmogui nepakanka energijos viskam aprėpti. Todėl trūksta kokybės užtikrinimo, pavyzdžiui, peržiūros ir bandymų.
Apie HKSP
HKSP apima pokyčiai, pvz., atsitiktinių imčių parinkimas struktūros kompromisai, apsauga nuo vardų erdvės atakų „User ID“ („pid“ vardų sritis), proceso kamino atskyrimas mmap plotas, dvigubo skambučio aptikimo funkcija „kfree“, nuotėkio blokavimas per pseudo-FS / proc (/ proc / {moduliai, raktai, pagrindiniai vartotojai}, / proc / sys / branduolys / * ir / proc / sys / vm / mmap_min_addr, / proc / kallsyms), patobulintas adresų atsitiktinis atrinkimas vartotojo erdvėje, papildoma apsauga nuo „Ptrace“, patobulinta apsauga nuo „smap“ ir „smep“, galimybė uždrausti siųsti duomenis per neapdorotus lizdus, blokuoti adresus Netinkami UDP lizdai ir patikrinimai bei vykdomų procesų vientisumas.
Ši sistema taip pat apima „Ksguard“ branduolio modulį, skirtą nustatyti bandymus įvesti tipinius šakninius rinkinius.
Pleistrai sukėlė susidomėjimą Gregu Kroah-Hartmanu, atsakingas už stabilios „Linux“ branduolio šakos palaikymą, kas paprašė autoriaus padalinti monolitinį pleistrą į dalis, kad būtų paprasčiau ir paaukštinimas į centrinę sudėtį.
Aktyvios apsaugos technologijos „Linux“ branduolyje skatinimo projekto vadovas Keesas Cookas (Keesas Cookas) taip pat teigiamai kalbėjo apie pataisas, o problemos atkreipė dėmesį į x86 architektūrą ir pranešimo apie daugelį režimų, kurie tik įrašo, pobūdį. informacijos apie problemą, bet ne Pabandykite ją užblokuoti.
„Grsecurity“ kūrėjų atliktas pataisų tyrimas atskleidė daug klaidų ir trūkumų kode Tai taip pat parodė, kad nėra grėsmės modelio, kuris leistų tinkamai įvertinti projekto pajėgumus.
Norėdami parodyti, kad kodas buvo parašytas nenaudojant saugių programavimo metodų, Nereikšmingo pažeidžiamumo pavyzdys yra failų tvarkytuvėje / proc / ksguard / state, kuris sukurtas su leidimais 0777, o tai reiškia, kad visi turi rašymo prieigą.
Funkcija ksg_state_write, naudojama analizuojant komandas, parašytas / proc / ksguard / state, sukuria buferį tmp [32], kuriame duomenys rašomi atsižvelgiant į perduoto operando dydį, neatsižvelgiant į paskirties buferio dydį ir netikrinant parametras su eilutės dydžiu. Kitaip tariant, norint užrašyti dalį branduolio kamino, užpuolikui tereikia parašyti specialiai sukurtą eilutę / proc / ksguard / state.
Gavęs atsakymą, kūrėjas pakomentavo projekto „HKSP“ „GitHub“ puslapį atgaline data po pažeidžiamumo atradimo jis taip pat pridėjo pastabą, kad projektas vyksta laisvalaikiu tyrimams.
Dėkojame saugos komandai, kuri rado daug klaidų šiame pataise.
„Ksg_guard“ yra bitų pavyzdys, skirtas aptikti šakninius rinkinius branduolio lygmeniu, vartotojo ir branduolio ryšys paleidžia „Proc“ sąsają, mano šaltinio tikslas - greitai patikrinti idėją, kad nepridėčiau pakankamai saugumo patikrinimų.Tiesą sakant, patikrinkite rootkit branduolio lygiu, vis tiek turite aptarti su bendruomene, jei reikia sukurti „ARK“ (anti rootkit) įrankį „Linux“ sistemai