复制失败的缓解措施 CVE

有一个新的 CVE 以其严重性而引起了公众的关注: https://copy.fail/ tl;dr 可以利用内核模块 `algif_aead` 中的逻辑漏洞来修改内存页 - 给出的示例是以非 root 身份运行 su - 但这很容易影响任何其他映射到内存的文件 (例如 /etc/shadow) 我注意到,在我们的 Linuxkit 虚拟机中,使用内核镜像 `linuxkit/kernel:6.6.71`, 所涉及的特定内核配置标志 (CONFIG_CRYPTO_USER_API) 直接编译到内核中: my-linuxkit-vm:~# zcat /proc/config.gz | grep CONFIG_CRYPTO_USER_API CONFIG_CRYPTO_USER_API=y 以及 https://GitHub.com/linuxkit/linuxkit/blob/3bf33c3a11fc20b459195294a7d8980cbca4195b/kernel/6.6.x/config-x86_64#L4615 因此,我们无法立即采取措施,将 `algif_aead` 模块从列表中删除。 "真正的" 修复方法是在 https://GitHub.com/torvalds/linux/commit/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5 中。 目前是否有任何努力来修复此问题? 我今天晚些时候可以提供一个 MWE。 对于我们来说,大多数虚拟机都严格锁定,因此我们部分地受到已放弃的 CAP、极薄的容器等保护。