Désactiver la compatibilité avec brk()
Garantit que le noyau en cours d'exécution est compilé sans CONFIG_COMPAT_BRK, afin que la randomisation du tas (brk) reste active dans le cadre de l'ASLR.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_COMPAT_BRK=y conserve un comportement de compatibilité hérité pour d'anciens binaires qui place le tas du programme (brk) à un emplacement fixe et prévisible, ce qui désactive la randomisation du tas, élément central de l'ASLR. Des adresses de tas prévisibles facilitent considérablement les exploits de débordement de tas et d'use-after-free, l'attaquant n'ayant plus à déjouer la randomisation. Le laisser non défini (la valeur sûre) préserve l'ASLR complet pour le tas.
Ce que vérifie Pavois
Pavois lit la config de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) (repli /proc/config.gz) et vérifie que la ligne n'est pas CONFIG_COMPAT_BRK=y. S'indexer sur uname -r correspond à l'image exacte démarrée, plus fiable que lire un /boot/config-* quelconque. Notez que c'est indépendant du sysctl d'exécution kernel.randomize_va_space, qui contrôle la politique ASLR plus large.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_COMPAT_BRK=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should_not match(/^CONFIG_COMPAT_BRK=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep -h '^CONFIG_COMPAT_BRK=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep COMPAT_BRK). Attendu : # CONFIG_COMPAT_BRK is not set ou aucune sortie. Vous pouvez aussi confirmer que l'ASLR global est actif avec sysctl kernel.randomize_va_space (doit valoir 2).
Inspecter et investiguer
Option de compilation statique du noyau, sans journal d'exécution. Inspectez avec zcat /proc/config.gz | grep COMPAT_BRK ou grep COMPAT_BRK /boot/config-$(uname -r). Pour observer l'ASLR, comparez cat /proc/self/maps entre exécutions (la base du tas doit varier) ou vérifiez sysctl kernel.randomize_va_space.
Remédiation
Aucune remédiation automatisée n'est fournie : c'est une option de compilation du noyau. Appliquez-la en démarrant un noyau compilé sans CONFIG_COMPAT_BRK (le défaut moderne), ou recompilez le noyau. pavois harden apply ne peut pas la modifier.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque si activé : la randomisation du tas est désactivée, rendant les exploits de corruption de tas bien plus faciles via des adresses prévisibles.
Précautions avant de modifier : désactiver COMPAT_BRK n'affecte que des binaires extrêmement anciens, liés statiquement, qui supposaient une disposition de tas fixe (ère libc5), il n'en existe pratiquement plus sur les systèmes modernes, donc l'impact fonctionnel est quasi nul. Changer de noyau nécessite un redémarrage ; conservez le noyau précédent dans GRUB en repli et validez le démarrage sur une console.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R17 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.