Rendre le texte et les rodata des modules en lecture seule
Exige un noyau compilé avec CONFIG_STRICT_MODULE_RWX=y, mappant le code des modules en lecture seule et leurs rodata non exécutables.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_STRICT_MODULE_RWX=y étend l'application stricte du W^X (écriture XOR exécution) aux modules noyau chargeables : le code exécutable d'un module est mappé en lecture seule et ses données en lecture seule non exécutables. Cela prive les attaquants de la possibilité de modifier le code d'un module en place ou d'exécuter ses données comme du code, la même protection que STRICT_KERNEL_RWX, mais appliquée à la zone des modules chargés dynamiquement, sinon cible facile pour les rootkits.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz et vérifie CONFIG_STRICT_MODULE_RWX=y. Lire la config effective du noyau démarré prouve que les protections mémoire des modules sont compilées dans le noyau réellement utilisé, et pas seulement dans une valeur par défaut installée.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_STRICT_MODULE_RWX=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_STRICT_MODULE_RWX=y$/) }
endComment vérifier qu’elle est appliquée
grep '^CONFIG_STRICT_MODULE_RWX=' /boot/config-$(uname -r) || zcat /proc/config.gz | grep '^CONFIG_STRICT_MODULE_RWX='
Sortie attendue : CONFIG_STRICT_MODULE_RWX=y.
Inspecter et investiguer
Il s'agit d'une protection statique à la compilation, sans sortie de journal de routine. Une violation (écriture en mémoire de module en lecture seule, ou exécution de données de module) déclenche un oops/panic noyau, examinez dmesg ou journalctl -k. Confirmez l'option avec la commande grep ci-dessus.
Remédiation
Aucune remédiation automatique n'est fournie : CONFIG_STRICT_MODULE_RWX est une option noyau à la compilation, non activable à chaud. La correction consiste à démarrer un noyau compilé avec cette option, c'est déjà le cas des noyaux par défaut des OS pris en charge. Pour un noyau personnalisé, positionnez CONFIG_STRICT_MODULE_RWX=y puis reconstruisez.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans RWX strict des modules, le code des modules chargés reste inscriptible : un attaquant disposant d'une primitive d'écriture noyau peut détourner un module légitime pour dissimuler un rootkit. Précautions : le remède est un changement de noyau imposant un redémarrage, planifiez une fenêtre de maintenance et gardez une entrée de boot de repli. Quelques anciens modules ou modules hors arbre qui automodifient leur propre code au chargement peuvent nécessiter une mise à jour ; validez les modules tiers (par ex. pilotes GPU propriétaires) après le changement. Le surcoût de performance est négligeable.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R18 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.