argc == 0 でのプログラム実行（例: pwnkit（CVE-2021-4034））を防ぐためのシンプルな LSM BPF プログラムです。 すべての exec*() システムコールが argc >= 1 で呼び出されることを確認するだけのシンプルなチェックを行います。 このチェックは Ariadne Conill 氏の パッチ に基づいています。
# Ubuntu の場合
$ sudo apt-get install libc6-dev-i386 libbpf0 libbpf-dev
# Fedora 35 の場合
$ sudo dnf install clang bpftool libbpf-devel glibc-devel.i686 glibc-devel.x86_64
$ make
以下を実行します:
$ sudo make DESTDIR=/usr install
# 以下のコマンドが実行されます
# sudo cp src/load_check_argc0_lsm /usr/sbin
# sudo cp share/check_argc0_lsm.service /etc/systemd/system/
# その後、サービスを有効化できます
$ sudo systemctl daemon-reload
$ sudo systemctl enable check_argc0_lsm.service
$ sudo systemctl start check_argc0_lsm.service
テスト:
$ strace ./test/trigger
...
execve("/usr/bin/pkexec", NULL, NULL) = -1 EINVAL (Invalid argument)
$ sudo journalctl -u check_argc0_lsm.service
Feb 10 13:27:08 purple systemd[1]: Started LSM BPF protection for argc == 0 execs.
Feb 10 13:27:13 purple load_check_argc0_lsm[89177]: TIME PID PROCESS CALLING
Feb 10 13:27:13 purple load_check_argc0_lsm[89177]: 13:27:13 89194 trigger /usr/bin/pkexec
BPF LSM（5.7）と BPF ringbuf（5.8）には Linux カーネル >= 5.8 が必要です。
# プログラムが起動し、LSM BPF をアタッチしてログを監視します
$ sudo ./src/load_check_argc0_lsm
TIME PID PROCESS CALLING
12:59:21 85689 trigger /usr/bin/pkexec
trigger プログラムを使用して、すべてが正常に動作することをテストできます:
$ strace ./test/trigger
...
execve("/usr/bin/pkexec", NULL, NULL) = -1 EINVAL (Invalid argument)