Rendre le texte et les rodata du noyau en lecture seule
Exige un noyau compilé avec CONFIG_STRICT_KERNEL_RWX=y, mappant le .text du noyau en lecture seule et les .rodata non exécutables.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_STRICT_KERNEL_RWX=y impose un W^X strict (écriture XOR exécution) sur la mémoire noyau : le code exécutable (.text) est mappé en lecture seule et non inscriptible, et les données en lecture seule (.rodata) sont mappées non exécutables. Cela bloque deux techniques d'exploitation majeures, modifier le code noyau en place pour implanter un rootkit, et exécuter des zones de données comme du code, forçant les attaquants à des méthodes bien plus contraintes.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz et vérifie CONFIG_STRICT_KERNEL_RWX=y. Lire la config effective du noyau démarré prouve que les protections mémoire sont compilées dans le noyau réellement utilisé, et pas seulement dans une valeur par défaut installée.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_STRICT_KERNEL_RWX=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_STRICT_KERNEL_RWX=y$/) }
endComment vérifier qu’elle est appliquée
grep '^CONFIG_STRICT_KERNEL_RWX=' /boot/config-$(uname -r) || zcat /proc/config.gz | grep '^CONFIG_STRICT_KERNEL_RWX='
Sortie attendue : CONFIG_STRICT_KERNEL_RWX=y. Le noyau journalise aussi les mappages au démarrage, voir ci-dessous.
Inspecter et investiguer
Au démarrage, le noyau signale les mappages protégés, examinez dmesg ou journalctl -k pour des lignes comme Write protecting the kernel read-only data ou rodata=on. Une violation (écriture en mémoire noyau en lecture seule) déclenche un oops/panic également visible là.
Remédiation
Aucune remédiation automatique n'est fournie : CONFIG_STRICT_KERNEL_RWX est une option noyau à la compilation, non activable à chaud. La correction consiste à démarrer un noyau compilé avec cette option, c'est déjà le cas des noyaux par défaut des OS pris en charge. Pour un noyau personnalisé, positionnez CONFIG_STRICT_KERNEL_RWX=y puis reconstruisez ; évitez de la désactiver via un paramètre de boot rodata=off.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans RWX strict du noyau, le code et les données en lecture seule restent inscriptibles/exécutables, permettant à un attaquant disposant d'une primitive d'écriture d'implanter un rootkit persistant en modifiant le texte noyau. Précautions : le remède est un changement de noyau imposant un redémarrage, planifiez une fenêtre de maintenance et gardez une entrée de boot de repli. Certains correctifs noyau à chaud, certains débogueurs et quelques anciens modules hors arbre peuvent mal se comporter sous W^X ; validez ces outils. Le surcoût de performance est négligeable.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R15 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.