Désactiver le mappage vsyscall
Exige que le noyau soit compilé avec CONFIG_LEGACY_VSYSCALL_NONE=y, supprimant entièrement la page vsyscall à adresse fixe.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
La page vsyscall héritée est une région mappée à une adresse virtuelle fixe et bien connue dans chaque processus, un vestige antérieur au vDSO. Son adresse ne changeant jamais, elle constitue une cible fiable pour le contournement de l'ASLR par programmation orientée retour (ROP) : un attaquant peut enchaîner des gadgets à partir de son contenu connu. Choisir CONFIG_LEGACY_VSYSCALL_NONE=y supprime entièrement le mappage, éliminant cette surface d'attaque à adresse fixe (les alternatives ne font que l'émuler ou en restreindre l'exécution).
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution, /boot/config-$(uname -r) et /proc/config.gz en mémoire, et confirme CONFIG_LEGACY_VSYSCALL_NONE=y. Il s'agit d'un groupe choice (none / xonly / emulate) ; vérifier la config réelle du noyau démarré établit quelle variante est réellement compilée, et non un /boot/config-* obsolète.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_X86_VSYSCALL_EMULATION=|CONFIG_LEGACY_VSYSCALL_NONE=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should_not match(/^CONFIG_X86_VSYSCALL_EMULATION=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_LEGACY_VSYSCALL' /boot/config-$(uname -r). Attendu : CONFIG_LEGACY_VSYSCALL_NONE=y (les variantes XONLY/EMULATE marquées is not set). À l'exécution, un noyau dont vsyscall est retiré peut aussi être confirmé via le paramètre de démarrage vsyscall=none dans cat /proc/cmdline lorsqu'il est employé.
Inspecter et investiguer
Aucun journal dédié. Quand un processus accède à la page vsyscall retirée, il reçoit un SIGSEGV ; ces fautes apparaissent dans dmesg | grep -i -e vsyscall -e segfault ou journalctl -k | grep -i vsyscall. Le réglage effectif est aussi reflété par la ligne de commande noyau vsyscall= dans cat /proc/cmdline.
Remédiation
Aucune remédiation automatisée : il s'agit d'un choice de compilation du noyau, pas d'un paramètre modifiable à chaud. Le plan de durcissement Pavois est vide. Pour corriger, démarrez un noyau compilé avec CONFIG_LEGACY_VSYSCALL_NONE=y. Sur les noyaux compilés en emulate/xonly, vous pouvez l'approcher à l'exécution avec le paramètre de démarrage vsyscall=none, mais le choix de compilation NONE vérifié par cette règle requiert un autre noyau.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer la page vsyscall ne casse que des binaires très anciens liés statiquement (glibc antérieure à ~2.14) qui appellent encore via les adresses vsyscall fixes ; tout ce qui est moderne utilise le vDSO et n'est pas concerné. Auditez les binaires statiques hérités avant d'appliquer, s'il en existe, vsyscall=emulate est un repli de compatibilité moins sûr. Comme le changement requiert un autre noyau, conservez l'entrée du noyau précédent dans le chargeur d'amorçage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R15 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.