Désactiver le montage de squashfs
Garantit que le module noyau squashfs n'est pas chargé et qu'il est mis en liste noire afin de ne pas être chargé automatiquement à la demande.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Supprimer la prise en charge des types de systèmes de fichiers inutiles réduit la surface d'attaque locale du système. Le pilote squashfs analyse des images non fiables fournies par l'attaquant ; toute faille dans ce code devient un vecteur d'élévation de privilèges locale ou de déni de service. Sauf si l'hôte monte réellement des images SquashFS (par exemple les paquets Snap, qui en dépendent), le module ne doit être ni chargé ni chargeable.
Ce que vérifie Pavois
Pavois interroge l'état effectif du module, pas les fichiers de configuration : il vérifie que squashfs est absent du noyau en cours d'exécution et que modprobe est configuré pour en refuser le chargement (install squashfs /bin/true plus une entrée en liste noire). Lire uniquement /etc/modprobe.d/*.conf manquerait un module déjà chargé à l'exécution ou tiré par un drop-in inattendu ; interroger le noyau vivant détecte les deux cas.
describe kernel_module('squashfs') do
it { should_not be_loaded }
it { should be_disabled }
endComment vérifier qu’elle est appliquée
lsmod | grep squashfsne doit rien renvoyer (module non chargé).modprobe -n -v squashfsdoit afficherinstall /bin/true(le chargement est neutralisé).grep -r squashfs /etc/modprobe.d/doit montrer une ligneblacklist squashfset une ligneinstall squashfs /bin/true.
Inspecter et investiguer
dmesg | grep -i squashfsaffiche les messages noyau si le module est chargé.journalctl -k | grep squashfspour l'activité du module au démarrage.lsmodetmodprobe -n -v squashfsreflètent l'état réel à tout moment.
Remédiation
Le plan de durcissement de Pavois utilise la ressource kernel_module pour mettre squashfs en liste noire : il écrit un drop-in modprobe qui blackliste le module et redirige son chargement vers /bin/true, puis le décharge s'il est actif. Comme le module peut déjà être utilisé, un redémarrage est requis pour le purger complètement. Appliquez avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | blacklist |
|---|---|
| name | squashfs |
| reboot_required | true |
| resource | kernel_module |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque faible sur les serveurs. Attention : les paquets Snap dépendent de squashfs, le mettre en liste noire sur un hôte qui utilise Snap (courant sur les bureaux Ubuntu/certaines images) cassera les montages Snap. Vérifiez avec mount | grep squashfs et snap list avant d'appliquer ; si Snap est utilisé, excluez cette règle pour cet hôte.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.1.1.6, 1.1.1.7 | direct | per OS, see the benchmark table | haute |
| NIST | 3.4.6, CM-6(a), CM-7(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.