Саша Левин (NVIDIA, мэйнтейнер LTS-веток и консультативный совет Linux Foundation) подготовил набор патчей, реализующих механизм killswitch для ядра. Killswitch позволяет мгновенно отключить доступ к определённой функции работающего ядра. Пример: для блокировки уязвимости Copy Fail достаточно выполнить
echo "engage af_alg_sendmsg -1" > /sys/kernel/security/killswitch/control
Теперь вызов функции будет возвращать -1 вместо выполнения.
Управление через /sys/kernel/security/killswitch/control. Можно отключать функции по именам, поддерживаемым kprobes. Механизм особенно актуален, когда эксплоит появляется раньше исправления (как произошло с Dirty Frag). Для многих функций (AF_ALG, ksmbd, nf_tables, vsock, ax25) временное отключение безопаснее работы с известной неисправленной уязвимостью.
Linux / Линукс 🥸