Bloquear o driver de vídeo de teste
O driver vivid existe só para testes e já causou falhas de escalonamento de privilégio.
Por que importa
O driver vivid cria dispositivos de vídeo falsos para testar software de vídeo, e não tem uso num computador normal. Erros nele já permitiram escalada de privilégio. Se não está carregado, esses erros não podem ser usados. Como normalmente nem está carregado, o ganho é pequeno, mas o custo é zero.
Como funciona
Acrescenta uma configuração do modprobe que bloqueia o carregamento do módulo vivid. Qualquer tentativa de carregá-lo, por um administrador ou por um atacante que consiga rodar modprobe, falha.
Quem deve usar
Todos, exceto desenvolvedores que testam software de captura ou câmera com dispositivos virtuais e precisam do vivid.
O que você pode notar
Nada para usuários normais. Um desenvolvedor que tentar carregar o vivid vê o modprobe falhar, e nenhuma câmera virtual de teste aparece.
Verifique no seu computador
Veja se os módulos estão carregados:
lsmod | grep -E '^(vivid) 'Aplique à mão
Diga ao sistema para não carregá-los, em um arquivo seu:
sudo tee /etc/modprobe.d/90-modules-vivid.conf <<'EOF'
install vivid /bin/false
EOFDesfaça
Remova o arquivo. Os módulos já carregados continuam até a próxima reinicialização.
Configurações relacionadas
Fontes
- Linux Hardening Guide (madaidans)
- 2.5.2