Déclencher un BUG noyau lorsqu'une corruption de données est détectée
Garantit que le noyau en cours d'exécution est compilé avec CONFIG_BUG_ON_DATA_CORRUPTION=y, afin qu'une corruption de structure détectée déclenche un BUG() et s'arrête au lieu de continuer.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_BUG_ON_DATA_CORRUPTION=y fait passer les vérifications de cohérence internes du noyau (par ex. validations des listes chaînées et de la mémoire) d'un simple avertissement à un BUG() ferme qui stoppe le chemin fautif dès qu'une corruption est observée. Beaucoup d'exploits noyau fonctionnent en corrompant des structures en mémoire ; s'arrêter immédiatement prive l'attaquant de la fenêtre pour exploiter l'état corrompu, et empêche un noyau silencieusement endommagé de continuer à fonctionner. Sans cela, une corruption détectée ne fait que journaliser un avertissement et l'exécution se poursuit, ce qui peut laisser un exploit réussir.
Ce que vérifie Pavois
Pavois lit la config de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) (repli /proc/config.gz) et vérifie CONFIG_BUG_ON_DATA_CORRUPTION=y. S'indexer sur uname -r correspond à l'image exacte démarrée, plus fiable que lire un /boot/config-* quelconque. Cette option dépend de l'activation de CONFIG_DEBUG_LIST et des vérifications de cohérence associées.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_BUG_ON_DATA_CORRUPTION=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_BUG_ON_DATA_CORRUPTION=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep -h '^CONFIG_BUG_ON_DATA_CORRUPTION=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep BUG_ON_DATA_CORRUPTION). Attendu : CONFIG_BUG_ON_DATA_CORRUPTION=y.
Inspecter et investiguer
Option de compilation statique du noyau, sans journal dédié. Inspectez avec zcat /proc/config.gz | grep BUG_ON_DATA_CORRUPTION ou grep BUG_ON_DATA_CORRUPTION /boot/config-$(uname -r). Si une corruption est détectée à l'exécution, le BUG()/oops et la trace résultants apparaissent dans dmesg et journalctl -k.
Remédiation
Aucune remédiation automatisée n'est fournie : c'est une option de compilation du noyau. Appliquez-la en démarrant un noyau compilé avec CONFIG_BUG_ON_DATA_CORRUPTION=y (un noyau durci ou orienté sécurité), ou recompilez le noyau. pavois harden apply ne peut pas la modifier.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque si désactivé : une corruption détectée n'est que signalée par un avertissement et le noyau continue, laissant à l'attaquant le temps d'exploiter l'état corrompu.
Précautions avant de modifier : activée, une corruption réelle provoque désormais un arrêt/panic ferme plutôt qu'un avertissement, ce qui privilégie l'intégrité sur la disponibilité, acceptable sur des hôtes sensibles mais à évaluer pour des nœuds à haute disponibilité. Changer de noyau nécessite un redémarrage ; conservez le noyau précédent dans GRUB en repli et validez le démarrage sur une console.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R16 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.