Vlákno názorů k článku
Dirty Frag je další chyba podobná Copy Fail, zatím pro ni neexistuje oprava od Wasper - Ač zprávička říká, že neexistuje oprava, tak existuje...

Ač zprávička říká, že neexistuje oprava, tak existuje workaround, opět zablokovat loadnutí modulů.

A minule jsme se tu bavili o custom kernelu vs. distribuční all-in-one, a dostal jsem vynadáno, že je to blbost a tak.
No kdo by to po tejdnu řekl, že autoload esp4.ko, esp6.ko a rxrpc.ko povede k rootovi? A jen tak mezi řečí, na kolika procentech serverů nebo WS se IPSEC vlastně používá?

Pro úplnost jsou aktuálně 2 exploity (rxrpc, xfrm). Zablokování modulů pomocí konfiguračního souboru /etc/modprobe­.d/dirtyfrag.con­f:

install esp4 /bin/false
install esp6 /bin/false
install rxrpc /bin/false
install xfrm_user /bin/false

Pak vyhodit z jádra moduly:

rmmod esp4 esp6 rxrpc xfrm_user

Nakonec reboot, vylití cache na již proběhlý exploit nestačí (pozor, to vylití se docela zamyslí):

echo 1 > /proc/sys/vm/drop_caches
reboot

RHEL a klony mají xfrm_user v jádře, takže je zřejmě potřeba zablokovat inicializaci přes parametr jádra a udělat reboot:

grubby --update-kernel=ALL --args="initcall_blacklist=xfrm_user_init"
reboot

IPSEC se používá pro VPN.

Ano. Tak znova. Kolik procent WS a serverů používá jakoukoli VPN? A kolik procent z nich používá poměrně těžkopádný IPSec, a ne třeba Wireguard, OpenVPN?

A o kolik by se snížila attack surface, pokud by u zbylých ty moduly nebyly vůbec, nebo by alespoň neměly autoload, ale loadoval si je spouštěcí script od toho pluto/charona?

Vzhledem k tomu, ze wireguard vetsina firewallu nema dodnes implementovano, a treba Fortinet ssl vpn zrusil, tak je ipsec pouzivan na velmi velkem mnozstvi ws/serveru/fi­rewallu atd. Nekde to je jako client-to-site, jinde jako site-to-site.

Dalo by se rict, ze ipsec je je dominantni metoda vpn.

A jsme technici, v relativních číslech, alespoň řádově, by to nebylo? Promile? Procenta? Desítky procent?

ipsec je take nativni soucasti IPV6, dokonce se pri prvotnim navruhu IPV6 uvazovalo, ze bude povinny

MP

to je ale nedostatečné, ještě tam máš zranitelnost user nemaspaces, takže user.max_user_na­mespaces = 0 a papá třeba podman. Poté tam také visí AF_RXRPC, to lze vyřešit blokováním, pak add_key("rxrpc", ...), to už je horší, protože SystemCallFil­ter=~@keyring už má nějaké regrese, ale zase jde o případ, kdy tam uživatel může spouštět kód, to už nebude tak časté.