Vérifier les permissions du fichier passwd
Garantit que /etc/passwd n'est ni modifiable, ni exécutable, ni setuid/setgid ni sticky pour le groupe ou les autres, afin que seul root puisse modifier la base de comptes.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/passwd contient chaque compte du système (nom de connexion, UID, GID, répertoire personnel et shell) et est lisible par tous par conception pour que les programmes résolvent les noms d'utilisateur. Le danger est l'accès en écriture : si le fichier est modifiable par son groupe ou par les autres, un utilisateur non privilégié pourrait ajouter un compte, changer l'UID d'un autre utilisateur en 0, ou modifier un shell de connexion, un chemin direct vers l'élévation de privilèges. Les bits setuid/setgid/exécutable n'ont aucun sens sur ce fichier texte et ne font qu'élargir la surface d'attaque. Seul root doit pouvoir l'écrire.
Ce que vérifie Pavois
Pavois lit les bits de mode réels de /etc/passwd sur la cible, les permissions effectives stockées dans l'inode, plutôt qu'une base documentée. Aucun include ni drop-in ne peut le contourner ; l'audit voit exactement ce que le noyau applique. La garde only_if ignore le contrôle si le fichier est absent.
only_if { file('/etc/passwd').exist? }
describe file('/etc/passwd') do
it { should_not be_executable.by('owner') }
it { should_not be_setuid }
it { should_not be_executable.by('group') }
it { should_not be_writable.by('group') }
it { should_not be_setgid }
it { should_not be_executable.by('other') }
it { should_not be_writable.by('other') }
it { should_not be_sticky }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%A %U %G' /etc/passwd. Attendu : mode -rw-r--r-- (0644) appartenant à root root, sans bit d'écriture pour le groupe/les autres ni bits s/t. Vérification rapide : find /etc/passwd -perm /0133 ne doit rien renvoyer.
Inspecter et investiguer
Les changements de permissions ne sont pas journalisés par défaut. /etc/passwd étant sensible, surveillez-le avec auditd : auditctl -w /etc/passwd -p wa -k identity, puis consultez avec grep 'key="identity"' /var/log/audit/audit.log. Mode et propriété actuels : stat /etc/passwd.
Remédiation
Aucun plan de durcissement automatisé n'est fourni pour cette règle, elle doit donc être appliquée manuellement : chown root:root /etc/passwd && chmod 0644 /etc/passwd. Cela supprime toute écriture groupe/autres et tout bit setuid/setgid/sticky tout en gardant le fichier lisible par tous, comme requis pour la résolution des noms.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| mode | 0644 |
|---|---|
| path | /etc/passwd |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque si mal réglé : un /etc/passwd modifiable permet à un attaquant d'injecter un compte UID 0 ou de changer des shells, une élévation de privilèges classique. Appliquer le correctif est sûr : 0644 root:root est le mode standard livré par toutes les distributions. Précaution : ne retirez pas le bit de lecture pour le groupe/les autres, de nombreux programmes (ls -l, id, login) en ont besoin, et supprimer la lecture par tous casse la résolution des noms et la plupart des connexions.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
| CIS | 2.2.6, 7.1.1 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.