Effacer la pile noyau avant le retour des appels système
Exige que le noyau soit compilé avec CONFIG_GCC_PLUGIN_STACKLEAK=y, un plugin GCC qui efface (empoisonne) la pile noyau au retour de chaque appel système.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Cela bloque la plupart des attaques par variables de pile non initialisées, l'impact sur les performances dépendant de la profondeur d'utilisation de la pile plutôt que de la complexité des appels de fonctions.
Ce que vérifie Pavois
Pavois lit le drapeau de compilation effectif du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz, indexé sur $(uname -r) : il reflète l'image démarrée plutôt qu'un .config égaré qu'un scan à chemin fixe pourrait capter.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_GCC_PLUGIN_STACKLEAK=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_GCC_PLUGIN_STACKLEAK=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_GCC_PLUGIN_STACKLEAK=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep '^CONFIG_GCC_PLUGIN_STACKLEAK='). Sortie attendue : CONFIG_GCC_PLUGIN_STACKLEAK=y. Absente ou # ... is not set est un échec. Lorsqu'il est actif, /proc/sys/kernel/stack_erasing existe et vaut 1.
Inspecter et investiguer
STACKLEAK signale les débordements de profondeur de pile détectés dans le ring buffer : dmesg | grep -i stackleak ou journalctl -k. L'état à l'exécution est exposé dans /proc/sys/kernel/stack_erasing. Confirmez le drapeau de compilation avec zcat /proc/config.gz | grep STACKLEAK.
Remédiation
Aucune remédiation automatisée n'est fournie : une option de compilation du noyau ne se règle pas en éditant un fichier. Appliquez-la manuellement en installant et démarrant un noyau compilé avec CONFIG_GCC_PLUGIN_STACKLEAK=y.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Lorsqu'un appel système retourne, la pile noyau qu'il a utilisée contient encore des données résiduelles, pointeurs, secrets, canaris. Un appel système ultérieur dont le code lit une variable locale non initialisée peut divulguer ces données périmées vers l'espace utilisateur (une fuite d'information qui défait l'ASLR/KASLR) ou être orienté pour réutiliser des restes influencés par l'attaquant. Le plugin STACKLEAK écrase la portion utilisée de la pile avec une valeur d'empoisonnement avant de revenir en espace utilisateur, éliminant à la fois la fuite d'information et la réutilisation de données périmées. Il détecte aussi les débordements de profondeur de pile. Sans lui, les attaques par variables de pile non initialisées restent viables. C'est une option à la compilation nécessitant le support des plugins GCC, posée uniquement en démarrant un noyau compilé avec. Précautions : il y a un coût à l'exécution proportionnel à la profondeur de pile (généralement quelques pour cent) ; passer à un noyau durci change l'ABI des modules, donc vérifiez le chargement des pilotes et mesurez les charges sensibles à la latence hors production. Aucun risque de redémarrage au-delà d'un échange de noyau classique.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R21 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.