Bloquear el controlador de vídeo de prueba
El controlador vivid existe solo para pruebas y ha causado fallos de escalada de privilegios.
Por qué importa
El controlador vivid crea dispositivos de vídeo falsos para probar software de vídeo, y no tiene uso en un equipo normal. Fallos en él han permitido escaladas de privilegios. Si no está cargado, esos fallos no se pueden usar. Como normalmente ni está cargado, la ganancia es pequeña pero el coste es cero.
Cómo funciona
Añade una configuración de modprobe que bloquea la carga del módulo vivid. Cualquier intento de cargarlo, por un administrador o por un atacante que logre ejecutar modprobe, falla.
Quién debería usarlo
Todos, salvo desarrolladores que prueban software de captura o cámara con dispositivos virtuales y necesitan vivid.
Qué puedes notar
Nada para usuarios normales. Un desarrollador que intente cargar vivid verá fallar modprobe, y no aparecerá ninguna cámara virtual de prueba.
Compruébalo en tu equipo
Mira si los módulos están cargados:
lsmod | grep -E '^(vivid) 'Aplícalo a mano
Indica al sistema que no los cargue, en un archivo tuyo:
sudo tee /etc/modprobe.d/90-modules-vivid.conf <<'EOF'
install vivid /bin/false
EOFDeshazlo
Elimina el archivo. Los módulos ya cargados siguen hasta el próximo reinicio.
Ajustes relacionados
Fuentes
- Linux Hardening Guide (madaidans)
- 2.5.2