Désactiver l'émulation vsyscall x86
Exige que le noyau soit compilé sans CONFIG_X86_VSYSCALL_EMULATION=y, supprimant la page vsyscall héritée à adresse fixe offrant des gadgets ROP.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
L'ancienne page vsyscall se trouve à une adresse fixe dans chaque processus et est obsolète (remplacée par le vDSO randomisé). Laisser CONFIG_X86_VSYSCALL_EMULATION=y maintient une région exécutable à un emplacement prévisible fournissant des gadgets ROP/JOP fiables, ce qui affaiblit l'ASLR et facilite l'exploitation. La désactiver supprime cette primitive d'attaque à adresse fixe.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution (/boot/config-$(uname -r) ou /proc/config.gz) et vérifie que l'option n'est pas à y. Inspecter le noyau vivant plutôt qu'un fichier de config potentiellement obsolète garantit que le résultat correspond au noyau réellement exécuté.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_X86_VSYSCALL_EMULATION=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should_not match(/^CONFIG_X86_VSYSCALL_EMULATION=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_X86_VSYSCALL_EMULATION=' /boot/config-$(uname -r). Attendu : aucune sortie, ou CONFIG_X86_VSYSCALL_EMULATION=n / # CONFIG_X86_VSYSCALL_EMULATION is not set. La ligne CONFIG_X86_VSYSCALL_EMULATION=y constitue un échec. À l'exécution, le paramètre noyau vsyscall=none produit le même effet, vérifiez cat /proc/cmdline.
Inspecter et investiguer
Aucun journal d'audit ne s'applique à une option de compilation. Pour voir l'état effectif à l'exécution, inspectez la ligne de commande de démarrage : cat /proc/cmdline (cherchez vsyscall=none) et dmesg | grep -i vsyscall.
Remédiation
Aucune remédiation automatique : remediation est vide car il s'agit d'un choix de compilation du noyau. Lorsque le noyau est compilé avec l'émulation, vous pouvez la neutraliser à l'exécution en ajoutant vsyscall=none à la ligne de commande de démarrage (modification GRUB manuelle), ou en démarrant un noyau compilé sans l'option. Appliquez manuellement, puis relancez le scan.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un échec maintient une page exécutable prévisible facilitant les exploits ROP. Précautions : de très anciens binaires statiques (glibc < 2.14, vers 2011) émettent des vsyscalls bruts et peuvent planter avec SIGSEGV si vsyscall est totalement désactivé. Sur un système susceptible d'exécuter de tels logiciels hérités, n'utilisez vsyscall=emulate qu'en cas de besoin ; sinon, vérifiez qu'aucune application ne casse avant de définir vsyscall=none ou de retirer l'option, et conservez une entrée d'amorçage de secours.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R15 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.