evdenis/lsm_bpf_check_argc0Module LSM BPF pour bloquer les exploits de type pwnkit (CVE-2021-4034)
Programme LSM BPF simple pour empêcher l'exécution de programmes avec argc == 0, par ex. pwnkit (CVE-2021-4034). Il ne fait rien de plus qu'une simple vérification que tous les appels système exec*() sont invoqués avec argc >= 1. La vérification est basée sur le patch d'Ariadne Conill.
# Sur Ubuntu
$ sudo apt-get install libc6-dev-i386 libbpf0 libbpf-dev
# Sur Fedora 35
$ sudo dnf install clang bpftool libbpf-devel glibc-devel.i686 glibc-devel.x86_64
$ make
Exécutez :
$ sudo make DESTDIR=/usr install
# exécutera les commandes suivantes
# sudo cp src/load_check_argc0_lsm /usr/sbin
# sudo cp share/check_argc0_lsm.service /etc/systemd/system/
# Ensuite, vous pouvez activer le service avec
$ sudo systemctl daemon-reload
$ sudo systemctl enable check_argc0_lsm.service
$ sudo systemctl start check_argc0_lsm.service
Test :
$ strace ./test/trigger
...
execve("/usr/bin/pkexec", NULL, NULL) = -1 EINVAL (Invalid argument)
$ sudo journalctl -u check_argc0_lsm.service
Feb 10 13:27:08 purple systemd[1]: Started LSM BPF protection for argc == 0 execs.
Feb 10 13:27:13 purple load_check_argc0_lsm[89177]: TIME PID PROCESS CALLING
Feb 10 13:27:13 purple load_check_argc0_lsm[89177]: 13:27:13 89194 trigger /usr/bin/pkexec
Noyau Linux >= 5.8 requis pour BPF LSM (5.7) et BPF ringbuf (5.8).
# Le programme démarrera, attachera un LSM BPF et surveillera le journal
$ sudo ./src/load_check_argc0_lsm
TIME PID PROCESS CALLING
12:59:21 85689 trigger /usr/bin/pkexec
On peut utiliser le programme trigger pour tester que tout fonctionne :
$ strace ./test/trigger
...
execve("/usr/bin/pkexec", NULL, NULL) = -1 EINVAL (Invalid argument)