Désactiver la prise en charge des binaires MISC par le noyau
Garantit que le noyau en cours d'exécution est compilé sans CONFIG_BINFMT_MISC, afin que le système ne puisse pas enregistrer d'interpréteurs pour des formats binaires arbitraires.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_BINFMT_MISC permet au noyau d'exécuter des formats binaires arbitraires (par ex. .jar Java, .exe Windows via Wine, architectures étrangères via qemu) en enregistrant des interpréteurs via /proc/sys/fs/binfmt_misc. Sur un serveur durci, cela accroît la surface d'attaque : un attaquant capable d'enregistrer un gestionnaire obtient un moyen discret de faire exécuter des fichiers arbitraires, et la fonction a servi à des techniques d'élévation de privilèges et de persistance. La désactiver (CONFIG_BINFMT_MISC non défini) supprime entièrement ce mécanisme d'enregistrement d'interpréteurs.
Ce que vérifie Pavois
Pavois lit la config de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) (repli /proc/config.gz) et vérifie que la ligne n'est pas CONFIG_BINFMT_MISC=y. Lire la config effective du noyau vivant (indexée sur uname -r) correspond à l'image exacte démarrée, plus fiablement qu'analyser un fichier /boot/config-* quelconque. L'option peut être compilée en module (=m) ; dans ce cas le contrôle passe mais vous devriez aussi confirmer que le module binfmt_misc n'est pas chargé avec lsmod.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_BINFMT_MISC=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should_not match(/^CONFIG_BINFMT_MISC=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep -h '^CONFIG_BINFMT_MISC=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep BINFMT_MISC). Attendu : aucune ligne =y (soit # CONFIG_BINFMT_MISC is not set soit =m). Vérifiez aussi que lsmod | grep binfmt_misc ne renvoie rien et que mount | grep binfmt_misc n'affiche aucun système de fichiers binfmt_misc monté.
Inspecter et investiguer
Option de compilation statique du noyau, sans journal d'exécution. Inspectez avec zcat /proc/config.gz | grep BINFMT_MISC ou grep BINFMT_MISC /boot/config-$(uname -r). Les interpréteurs enregistrés (si la fonction est active) sont visibles sous /proc/sys/fs/binfmt_misc/ ; un ls /proc/sys/fs/binfmt_misc/ listant des entrées signifie que la fonction est utilisée.
Remédiation
Aucune remédiation automatisée n'est fournie : c'est une option de compilation du noyau. Appliquez-la en démarrant un noyau compilé sans CONFIG_BINFMT_MISC, ou recompilez le noyau. Si la distribution le fournit en module, vous pouvez en plus blacklister/décharger binfmt_misc à l'exécution. pavois harden apply ne peut pas modifier le réglage de compilation.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque si activé : le système peut enregistrer des interpréteurs qui exécutent automatiquement des types de fichiers arbitraires, un vecteur d'exécution de code discrète et de persistance.
Précautions avant de désactiver : les charges qui dépendent de binfmt_misc cesseront de fonctionner, notamment l'exécution de conteneurs d'architecture étrangère via qemu-user (docker buildx, CI multi-arch), Wine, ou l'exécution directe de .jar/.py via des gestionnaires enregistrés. Confirmez qu'aucun de ces usages n'est en place avant de retirer la fonction. Sur un serveur ordinaire n'exécutant que des binaires natifs, la désactivation n'a aucun impact fonctionnel.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R23 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.