2008年2月11日

[selinux-users:02101] Re: カーネルのセキュリティホール&SELinuxキオスク

 熊猫です。

> これは、かなり危ないセキュリティホールです。
うわ〜ん。せっかく TOMOYO 1.5.3 適用済みバイナリパッケージをコンパイルし終えたところだったのに
また近日中に大量コンパイルする羽目になった〜。(x。x;

> 検証コードを実行すると、rootにはなれますが、
> xguest_tドメインなので、何も悪さはできません。

TOMOYO Linux でできる対策としては、

(1) ログイン認証の多重化を行うことでなりすましログインを防ぐ

(2) 実行できるプログラムを予めインストールされているものだけに限定することで
  エクスプロイトをダウンロードして実行されることを防ぐ

(3) root ユーザと非 root ユーザでログインシェルのドメインを分離することで
  非 root ユーザが root ユーザのドメインに遷移するのを防ぐ
  (root ユーザと非 root ユーザで異なるログインシェルを割り当てる)

といったところでしょうか。

> こんな時のためのSELinuxなのですが、
> 手元で試してみました。
(カーネルのセキュリティホールの場合、)カーネル内のデータを改ざんできてしまうからには
セキュアOSを使えば大丈夫という保証はできませんしねぇ。

> 今回のセキュリティホールは、セキュアOSの効果と限界を見れる好例だと思います。
どんな命令が要求されても大丈夫であることが理想ですが、現実には難しいんですよねぇ。
フックが挿入されている個所が限られているし、充分な情報が渡されているとは限らないですし。

古いバージョンの TOMOYO Linux では自発的権限放棄機能というのを備えていて、
「一度非 root になったら再度 root になることを禁止する」というのがありましたが、
カーネルに追加するフックのメンテナンスが面倒なのと、ユーザランドのプログラムに修正を加えたものを
メンテナンスできるほどのリソースが無いという理由から削除されました。


ちなみに、 2.6.24-rc2 の次で修正されたけど↓という穴もありました。
これも root 権限取得に使えるんだろうなぁ・・・。
http://lkml.org/lkml/2007/11/7/396

投稿者 xml-rpc : 2008年2月11日 16:26
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/69791
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。