Randomiser la freelist du slab
Exige un noyau compilé avec CONFIG_SLAB_FREELIST_RANDOM=y, randomisant l'ordre d'allocation des objets du slab.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_SLAB_FREELIST_RANDOM=y randomise l'ordre dans lequel les objets libres sont distribués au sein d'un cache slab. Cela casse l'agencement séquentiel et prévisible sur lequel s'appuient les exploits par débordement de tas pour placer un objet contrôlé par l'attaquant à côté d'un objet cible, rendant le « heap grooming » fiable bien plus difficile.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz et vérifie CONFIG_SLAB_FREELIST_RANDOM=y. Inspecter la config effective du noyau démarré, et non un fichier par défaut ou empaqueté, prouve que la protection est compilée dans le noyau réellement utilisé.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_SLAB_FREELIST_RANDOM=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_SLAB_FREELIST_RANDOM=y$/) }
endComment vérifier qu’elle est appliquée
grep '^CONFIG_SLAB_FREELIST_RANDOM=' /boot/config-$(uname -r) || zcat /proc/config.gz | grep '^CONFIG_SLAB_FREELIST_RANDOM='
Sortie attendue : CONFIG_SLAB_FREELIST_RANDOM=y.
Inspecter et investiguer
Il s'agit d'une mitigation statique à la compilation, sans sortie de journal à l'exécution. Vérifiez-la uniquement avec la commande grep ci-dessus ; aucun événement n'est à observer dans les journaux système.
Remédiation
Aucune remédiation automatique n'est fournie : CONFIG_SLAB_FREELIST_RANDOM est une option noyau à la compilation, non activable à chaud. La correction consiste à démarrer un noyau compilé avec cette option, c'est déjà le cas des noyaux par défaut des OS pris en charge. Pour un noyau personnalisé, positionnez CONFIG_SLAB_FREELIST_RANDOM=y et reconstruisez.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans randomisation de la freelist, l'ordre d'allocation du slab est déterministe, offrant aux exploits par débordement de tas un moyen fiable de positionner les objets et augmentant leur taux de succès. Précautions : la remédiation implique un changement de noyau et un redémarrage, planifiez une fenêtre de maintenance et conservez le noyau précédent dans GRUB. L'impact sur les performances est négligeable pour les charges courantes.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R17 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.