Détection des débordements de tampon par Stack Protector
Exige un noyau compilé avec CONFIG_STACKPROTECTOR=y, insérant des canaris de pile pour détecter les débordements de tampon.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_STACKPROTECTOR=y fait insérer par le compilateur un canari de pile, une valeur de garde placée avant l'adresse de retour des fonctions vulnérables. Si un débordement de tampon écrase l'adresse de retour sauvegardée, il doit d'abord écraser le canari ; le noyau détecte l'incohérence au retour de fonction et déclenche un panic au lieu de sauter vers du code contrôlé par l'attaquant. Cela transforme un bug d'exécution de code silencieux en un arrêt contrôlé, neutralisant les exploits classiques de stack smashing.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz et vérifie CONFIG_STACKPROTECTOR=y. Lire la config effective du noyau démarré prouve que la protection par canari est compilée dans le noyau utilisé, et pas seulement présente dans une valeur par défaut installée.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_STACKPROTECTOR=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_STACKPROTECTOR=y$/) }
endComment vérifier qu’elle est appliquée
grep '^CONFIG_STACKPROTECTOR=' /boot/config-$(uname -r) || zcat /proc/config.gz | grep '^CONFIG_STACKPROTECTOR='
Sortie attendue : CONFIG_STACKPROTECTOR=y.
Inspecter et investiguer
Lorsqu'un canari est écrasé, le noyau émet un message fatal avant de paniquer, examinez dmesg ou journalctl -k pour stack-protector: Kernel stack is corrupted in: .... Sinon, il s'agit d'une protection statique à la compilation, sans sortie de journal de routine ; confirmez-la avec la commande grep ci-dessus.
Remédiation
Aucune remédiation automatique n'est fournie : CONFIG_STACKPROTECTOR est une option noyau à la compilation, non activable à chaud. La correction consiste à démarrer un noyau compilé avec cette option, c'est déjà le cas des noyaux par défaut des OS pris en charge. Pour un noyau personnalisé, positionnez CONFIG_STACKPROTECTOR=y (et idéalement CONFIG_STACKPROTECTOR_STRONG=y) puis reconstruisez.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans stack-protector, un débordement de tampon de pile dans le code noyau peut écraser directement l'adresse de retour et conduire à l'exécution de code arbitraire plutôt qu'à un arrêt maîtrisé. Précautions : le seul remède est un changement de noyau imposant un redémarrage, planifiez une fenêtre de maintenance et gardez le noyau précédent dans GRUB en repli. Le surcoût à l'exécution est négligeable (vérification du canari sur un sous-ensemble de fonctions), il n'y a donc aucune raison pratique de performance pour le laisser désactivé.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R15 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.