Fedora 45 может включить Shadow Stack по умолчанию

Мне нравится, когда защита приходит почти бесплатно: в Fedora 45 хотят включить Shadow Stack на x86_64 по умолчанию.

Shadow Stack — часть Intel CET (защита потока управления). Он хранит копию адресов возврата отдельно от основного стека, так что атаки типа ROP и JOP не могут подменить куда вернуться. По сути, дистрибутив закрывает распространённый класс эксплуатации без лишних танцев.

Большинство Fedora-бинарников уже собрано с -fcf-protection с 2018 года, поэтому переход будет прозрачным. Приложения с совместимыми зависимостями получат защиту автоматически, а при dlopen несовместимой библиотеки процесс выдаст понятную ошибку.

Пока речь только о Shadow Stack: IBT (Indirect Branch Tracking) в этот раз не трогают. Подробности у Phoronix.