Initialiser à zéro tout ce qui est passé par référence
Exige que le noyau soit compilé avec CONFIG_GCC_PLUGIN_STRUCTLEAK_BYREF_ALL=y, le mode structleak le plus strict, qui initialise à zéro toute variable locale dont l'adresse est prise.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Cela élimine toutes les classes d'exploits par variables de pile non initialisées et d'expositions d'informations.
Ce que vérifie Pavois
Pavois lit le drapeau de compilation effectif du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz, indexé sur $(uname -r) : il reflète l'image démarrée plutôt qu'un .config égaré qu'un scan à chemin fixe pourrait capter.
describe command("grep -hE '^(CONFIG_GCC_PLUGIN_STRUCTLEAK_BYREF_ALL|CONFIG_INIT_STACK_ALL_ZERO)=y' /boot/config-$(uname -r) 2>/dev/null; zcat /proc/config.gz 2>/dev/null | grep -E '^(CONFIG_GCC_PLUGIN_STRUCTLEAK_BYREF_ALL|CONFIG_INIT_STACK_ALL_ZERO)=y'") do
its('stdout') { should match(/=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_GCC_PLUGIN_STRUCTLEAK_BYREF_ALL=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep '^CONFIG_GCC_PLUGIN_STRUCTLEAK_BYREF_ALL='). Sortie attendue : CONFIG_GCC_PLUGIN_STRUCTLEAK_BYREF_ALL=y. Absente ou # ... is not set est un échec.
Inspecter et investiguer
Ce plugin est une transformation à la compilation sans journal d'exécution dédié ; son effet est l'absence de fuites d'information. Confirmez le drapeau avec zcat /proc/config.gz | grep STRUCTLEAK_BYREF_ALL.
Remédiation
Aucune remédiation automatisée n'est fournie : une option de compilation du noyau ne se règle pas en éditant un fichier. Appliquez-la manuellement en installant et démarrant un noyau compilé avec CONFIG_GCC_PLUGIN_STRUCTLEAK_BYREF_ALL=y.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une variable locale du noyau passée par référence à une autre fonction avant d'être entièrement écrite peut divulguer le contenu non initialisé de la pile qui occupait cette mémoire, pointeurs ou secrets résiduels, vers l'espace utilisateur ou un chemin contrôlé par l'attaquant. Le mode structleak BYREF_ALL initialise à zéro chaque locale ainsi passée par référence (pas seulement les structures agrégées), fermant pratiquement toute la classe des expositions d'informations par pile non initialisée, au prix de davantage d'initialisations que le mode de base. Sans lui, un sous-ensemble de ces fuites reste exploitable. C'est une option à la compilation nécessitant le support des plugins GCC, posée uniquement en démarrant un noyau compilé avec. Précautions : elle ajoute plus de surcoût à l'exécution que STRUCTLEAK simple car elle initialise plus de variables ; passer à un noyau durci change l'ABI des modules, donc vérifiez le chargement des pilotes et mesurez les chemins critiques hors production. Aucun risque de redémarrage au-delà d'un échange de noyau classique.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R21 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.