Sebezhetőségek a systrace-ben

A Niels Provos által fejlesztett systrace egy számítógépes biztonsági segédprogram, amely rendszerhívás házirendeken keresztül korlátozza az alkalmazások hozzáférését a rendszerhez. A systrace-t integrálták korábban az OpenBSD és a NetBSD projektekbe is, de portolták más operációs rendszerekre, például Linux-ra és Mac OS X-re is. A FreeBSD fejlesztő Robert N. M. Watson most egy, a WOOT07-en tartott előadásában a rendszerhívás wrapper-ekben - köztük a systrace-ben - található sebezhetőségre, illetve annak kihasználására hívta fel a figyelmet.

A systrace-ből kifolyólag a sysjail is sebezhető. A sysjail projekt nem javasolja a sysjail használatát mindaddig, amíg a probléma meg nem oldódik. A szkeptikusok régóta megkérdőjelezik a systrace projekt hatékonyságát. Niels Provos kidolgozott egy megoldást a problémára, de mint azt írja, kis mértékben ugyan, de befolyásolja a rendszer teljesítményét negatív irányban. Ennek ellenére reméli, hogy a NetBSD és az OpenBSD alkalmazza a megoldását.

Bővebb infók itt és Robert Watson blogjában.

Hozzászólások

A szkeptikusok már tudtak ezekről a sebezhetőségekről 3-4 éve... :)

Nem kell különösebben szkeptikusnak lenni, OpenBSD 3.2 systrace manpage:

BUGS
Applications that use clone()-like system calls to share the complete ad-
dress space between processes may be able to replace system call argu-
ments after they have been evaluated by systrace and escape policy en-
forcement.

OpenBSD 3.2 June 3, 2002

Kedvenc blogpost:

"Just because systrace can be bypassed doesn’t mean it’s worthless."