Tetsuo Handa
from-****@I-lov*****
2017年 2月 21日 (火) 22:35:56 JST
熊猫です。 TOMOYO 1.x および CaitSith に関して、「 delete ドメイン名」という行を 書き込むことでドメインを削除した場合に行われるガベージコレクション処理において、 https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=4449a51a7c281602 で言及されているようにロックアップが発生する可能性のあることが判明したため、 修正版をリリースしました。 なお、 TOMOYO および CaitSith での発生報告はありません。 AKARI および TOMOYO 2.x は影響を受けません。また、 TOMOYO 1.x で CONFIG_CCSECURITY_USE_EXTERNAL_TASK_SECURITY を使っている場合、 および CaitSith で CONFIG_CAITSITH_USE_EXTERNAL_TASK_SECURITY を 使っている場合にも影響を受けません。 Linux 4.10 用のパッチを含む最新版は以下のファイルです。 ccs-patch-1.8.5-20170220.tar.gz MD5:ffff646d85482eb92c52ebbdfe43fc30 akari-1.0.36-20170220.tar.gz MD5:66665b863de0414c6dd63cf6a43b7999 caitsith-patch-0.2-20170220.tar.gz MD5:eeee437baa5c0419f2abbfdb1eb70361 忙しくてアナウンスできませんでしたが、ツールのアップデートもあります。 tomoyo-tools 2.5 のポリシーエディタの画面遷移規則を ccs-tools 1.8 と 同じにしました。 ccs-tools-1.8.5-20170102.tar.gz MD5:44446af8b01e92c1605c0460b7dc97d2 tomoyo-tools-2.5.0-20170102.tar.gz MD5:888804d58742452fe213a68f7eadd0ad caitsith-tools-0.2-20161229.tar.gz MD5:555555ed7ed21547d8d6d2285157c126 最近の動向としては、カーネルのハードニングに関する修正がどんどんマージ されてきているようです。例えば、 CONFIG_RANDOMIZE_BASE が有効になっている カーネルでは、 AKARI にとって問題にはならない筈ですが、 AKARI が報告する アドレスと System.map に記録されているアドレスが合致しなくなっています。 また、可能な限り const 属性を付与するようにしたり、初期化処理の終了後に read only 属性を付与するようにしたりする提案も盛んに行われています。 LSM フックとして使用する struct security_hook_list の配列についても 初期化処理の終了後に read only 属性を付与するという提案が行われているため、 AKARI のように LSM フックに割り込むタイプのモジュールをロードすることが 難しくなる可能性があります。 ウイルス対策ソフトがリアルタイムスキャンのために使用するカーネル モジュールにも LSM フックに割り込む方法を使っているものが存在するため、 影響を受ける可能性があります。なお、 LSM フレームワークとしては、（いくつか 未解決の制約はありますが）既に複数のモジュールを登録できるようになっているため、 メインラインにマージできるように修正して提案することは歓迎される （ http://www.openwall.com/lists/kernel-hardening/2017/02/17/15 ）ようです。 他には、 Linux 2.6.29 で削除されてしまった security_task_alloc() フックが、 struct cred 単位ではなく struct task_struct 単位でコンテキストを管理したい ptags や Timgad が提案されたことにより、１０年ぶりに復活しそうな状況です。 struct task_struct 単位で管理を行うことから名付けられた TOMOYO にとって、 名が体を表すようになります。 ;-)
TOMOYO
Fork