Vérifier le groupe propriétaire du grub.cfg du chargeur d'amorçage UEFI
Garantit que la configuration GRUB 2 UEFI /boot/efi/EFI/redhat/grub.cfg est détenue par le groupe root (gid 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le fichier de configuration GRUB 2 UEFI /boot/efi/EFI/redhat/grub.cfg détermine la façon dont le système démarre, y compris les paramètres de ligne de commande du noyau et le mot de passe du chargeur d'amorçage. Le groupe root est hautement privilégié et le groupe propriétaire de ce fichier ne devrait de toute façon disposer d'aucun privilège d'accès. Si un groupe autre que root le détient, ses membres pourraient lire les paramètres de démarrage pour repérer des faiblesses de sécurité ou, combiné à des permissions trop ouvertes, modifier la configuration d'amorçage et compromettre le système avant le chargement de tout contrôle au niveau de l'OS.
Ce que vérifie Pavois
Pavois lit le groupe propriétaire effectif de /boot/efi/EFI/redhat/grub.cfg sur le système en cours d'exécution via la ressource InSpec file et vérifie gid == 0. Il inspecte les métadonnées réelles de l'inode telles que le noyau les voit sur la partition système EFI montée, et non une valeur par défaut de paquet : une dérive après installation est donc détectée. Le contrôle est ignoré (only_if) sur les systèmes où le fichier est absent (par exemple en amorçage BIOS).
only_if { file('/boot/efi/EFI/redhat/grub.cfg').exist? }
describe file('/boot/efi/EFI/redhat/grub.cfg') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /boot/efi/EFI/redhat/grub.cfg. Sortie attendue : root 0. Tout autre nom de groupe ou gid non nul signifie que la règle n'est pas appliquée.
Inspecter et investiguer
Les changements de propriété ne sont pas journalisés par défaut. Surveillez le fichier avec auditd : auditctl -w /boot/efi/EFI/redhat/grub.cfg -p wa -k grub-perms, puis examinez grep 'key="grub-perms"' /var/log/audit/audit.log. L'activité du chargeur d'amorçage est visible dans le tampon noyau (dmesg) et journalctl -b après un redémarrage.
Remédiation
Aucune remédiation automatique n'est définie pour cette règle ; elle doit donc être appliquée manuellement. Rétablissez le bon groupe propriétaire avec chgrp root /boot/efi/EFI/redhat/grub.cfg.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /boot/efi/EFI/redhat/grub.cfg |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un groupe propriétaire autre que root sur le grub.cfg UEFI expose les paramètres de démarrage et, avec des permissions trop ouvertes, la configuration d'amorçage elle-même, une surface d'attaque antérieure à l'OS. Le correctif présente peu de risques : chgrp root ne change que la propriété de groupe, pas le contenu, et n'affecte pas le démarrage. Précaution : la partition système EFI est généralement en VFAT, qui ne stocke pas la propriété Unix ; chgrp prend alors effet via les options de montage (gid=/umask= dans /etc/fstab). Réexécuter grub2-mkconfig régénère le fichier et peut réinitialiser la propriété : réappliquez ensuite. Ne modifiez pas le contenu du fichier ici, uniquement la propriété.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R29 | direct | 2.0 | haute |
| CIS | 1.4.2 | direct | per OS, see the benchmark table | haute |
| NIST | 3.4.5 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.