Bloquear el controlador de vídeo de prueba

Por qué importa

El controlador vivid crea dispositivos de vídeo falsos para probar software de vídeo, y no tiene uso en un equipo normal. Fallos en él han permitido escaladas de privilegios. Si no está cargado, esos fallos no se pueden usar. Como normalmente ni está cargado, la ganancia es pequeña pero el coste es cero.

Cómo funciona

Añade una configuración de modprobe que bloquea la carga del módulo vivid. Cualquier intento de cargarlo, por un administrador o por un atacante que logre ejecutar modprobe, falla.

Quién debería usarlo

Todos, salvo desarrolladores que prueban software de captura o cámara con dispositivos virtuales y necesitan vivid.

Qué puedes notar

Nada para usuarios normales. Un desarrollador que intente cargar vivid verá fallar modprobe, y no aparecerá ninguna cámara virtual de prueba.

Compruébalo en tu equipo

Mira si los módulos están cargados:

lsmod | grep -E '^(vivid) '

Aplícalo a mano

Indica al sistema que no los cargue, en un archivo tuyo:

sudo tee /etc/modprobe.d/90-modules-vivid.conf <<'EOF'
install vivid /bin/false
EOF

Deshazlo

Elimina el archivo. Los módulos ya cargados siguen hasta el próximo reinicio.

Ajustes relacionados

• Bloquear protocolos de red poco comunes

Fuentes

Linux Hardening Guide (madaidans)

2.5.2