Activer les vérifications sur les opérations de tables scatter-gather (SG)
Exige que le noyau soit compilé avec CONFIG_DEBUG_SG=y, ce qui ajoute des contrôles de cohérence à l'exécution sur les opérations de tables DMA scatter-gather.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Cela aide à détecter les pilotes qui n'initialisent pas correctement leurs tables SG.
Ce que vérifie Pavois
Pavois lit le drapeau de compilation effectif du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz, indexé sur $(uname -r). Il reflète donc le noyau réellement démarré, et non un .config périmé d'un arbre de build ou d'une autre image installée qu'un scan à chemin fixe pourrait capter.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_DEBUG_SG=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_DEBUG_SG=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_DEBUG_SG=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep '^CONFIG_DEBUG_SG='). Sortie attendue : CONFIG_DEBUG_SG=y. Une valeur absente ou # CONFIG_DEBUG_SG is not set signifie que la règle n'est pas satisfaite.
Inspecter et investiguer
Lorsque le contrôle détecte une table SG incorrecte, le noyau émet un avertissement dans le ring buffer : dmesg | grep -i 'sg\|scatter' ou journalctl -k. Le drapeau de config lui-même est silencieux ; confirmez sa présence avec zcat /proc/config.gz | grep DEBUG_SG.
Remédiation
Aucune remédiation automatisée n'est fournie : une option de compilation du noyau ne se règle pas en éditant un fichier. Appliquez-la manuellement en installant et démarrant un noyau compilé avec CONFIG_DEBUG_SG=y.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Les tables scatter-gather (SG) décrivent les régions mémoire qu'un pilote remet au moteur DMA. Un pilote qui construit une table SG malformée peut amener un périphérique à lire ou écrire la mauvaise mémoire physique, corrompant silencieusement des données noyau ou permettant une corruption mémoire via DMA. CONFIG_DEBUG_SG ajoute des vérifications de nombre magique et de bornes qui interceptent ces bogues au moment où ils surviennent au lieu de les laisser se propager. C'est une option à la compilation, modifiable uniquement en démarrant un noyau compilé avec. Précautions : elle induit un léger surcoût à l'exécution et est généralement désactivée dans les noyaux standard ; adopter un noyau durci change l'ABI des modules, donc vérifiez le chargement des pilotes et menez un test d'endurance hors production avant déploiement. Aucun risque de redémarrage particulier au-delà d'un échange de noyau classique.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R16 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.