Vermeiden von Sicherheitsrisiken in Verbindung mit ausführbaren Dateien

Eine Reihe von Sicherheitslücken sind mit standardmäßigen ausführbaren Stacks verbunden, wenn diese über Lese-, Schreib- und Ausführungsberechtigungen verfügen. Stacks mit Ausführungsberechtigungen sind zwar zulässig, jedoch funktionieren die meisten Programme auch ohne ausführbare Stacks.

Die Variable noexec_user_stack ermöglicht Ihnen anzugeben, ob Stack-Zuordnungen ausführbar sind. Die Variable ist ab der Version Solaris 2.6 verfügbar. Standardmäßig ist diese Variable auf null eingestellt, ausgenommen in 64-Bit-Anwendungen, wodurch ABI-konformes Verhalten sichergestellt wird. Wenn die Variable auf einen anderen Wert als null eingestellt wird, markiert das System den Stack jedes Prozesses im System als lesbar und beschreibbar, jedoch nicht als ausführbar.

Sobald diese Variable eingestellt ist, wird Programmen, die versuchen Code in ihrem Stack auszuführen, ein SIGSEGV-Signal gesendet. Dadurch wird das Programm normalerweise mit einem Speicherabzug beendet. Solche Programme generieren auch eine Warnung, die den Namen des Programms, die Prozess-ID und die tatsächliche UID des Benutzers, der das Programm ausgeführt hat, enthalten. Beispiel:

a.out[347] attempt to execute code on stack by uid 555 

Die Meldung wird vom Dämon syslog ausgegeben, wenn die syslog kern-Funktion auf die Ebene notice eingestellt ist. Diese Ausgabe wird standardmäßig in der Datei syslog.conf eingestellt, d. h. die Meldung wird sowohl auf der Konsole als auch in die Datei /var/adm/messages ausgegeben. Weitere Informationen finden Sie auf den Manpages syslogd(1M) und syslog.conf(4).

Anhand der syslog-Meldung lassen sich mögliche Sicherheitsprobleme feststellen. Die Meldung gibt auch gültige Programme an, die von ausführbaren Stacks abhängen, deren ordnungsgemäße Funktion durch die Einstellung dieser Variablen verhindert wurde. Wenn keine Meldungen ausgegeben werden sollen, stellen Sie für die Variable noexec_user_stack_log in der Datei /etc/system einen Wert von null ein. Auch wenn keine Meldungen ausgegeben werden, kann das SIGSEGV-Signal das ausführende Programm weiterhin mit einem Speicherabzug beenden.

Mit der Funktion mprotect() können Sie erreichen, dass Programme ihren Stack explizit als ausführbar markieren. Weitere Informationen finden Sie auf der Manpage mprotect(2).

Aufgrund von Hardwarebeschränkungen können auf den meisten x86-basierten Systemen keine Probleme mit ausführbaren Stacks erkannt und gemeldet werden. Bei Systemen der ADM64-Produktfamilie werden jedoch Probleme mit ausführbaren Stacks erkannt und gemeldet.