Désactiver le montage de udf
Garantit que le module noyau udf n'est pas chargé et qu'il est mis en liste noire afin que ce pilote de système de fichiers rarement nécessaire ne soit pas chargé automatiquement.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Supprimer la prise en charge des types de systèmes de fichiers inutiles réduit la surface d'attaque locale du système. Le pilote udf (Universal Disk Format, utilisé par les DVD et certains supports amovibles) analyse des supports fournis par l'attaquant ; une faille dans ce code est un vecteur d'élévation de privilèges locale ou de déni de service. Sauf si l'hôte monte des supports optiques/UDF, le module ne doit être ni chargé ni chargeable.
Ce que vérifie Pavois
Pavois interroge l'état effectif du module, pas les fichiers de configuration : il vérifie que udf est absent du noyau en cours d'exécution et que modprobe refuse de le charger. Lire uniquement /etc/modprobe.d/*.conf manquerait un module déjà chargé (par exemple après l'insertion d'un DVD) ou tiré par un drop-in inattendu ; interroger le noyau vivant détecte les deux cas.
describe kernel_module('udf') do
it { should_not be_loaded }
it { should be_disabled }
endComment vérifier qu’elle est appliquée
lsmod | grep udfne doit rien renvoyer.modprobe -n -v udfdoit afficherinstall /bin/true.grep -r udf /etc/modprobe.d/doit montrerblacklist udfetinstall udf /bin/true.
Inspecter et investiguer
dmesg | grep -i udfetjournalctl -k | grep udfaffichent les événements de chargement noyau/module.lsmodetmodprobe -n -v udfreflètent l'état réel.
Remédiation
Le plan de durcissement de Pavois utilise la ressource kernel_module pour mettre udf en liste noire : il écrit un drop-in modprobe qui blackliste le module et redirige son chargement vers /bin/true, puis le décharge s'il est actif. Un redémarrage est requis pour purger un module utilisé. Appliquez avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | blacklist |
|---|---|
| name | udf |
| reboot_required | true |
| resource | kernel_module |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque faible sur les serveurs. Attention : mettre udf en liste noire empêche le montage de DVD et de certains supports USB au format UDF ; certains processus d'installation/ISO et disques d'interopérabilité Windows utilisent UDF. Si l'hôte doit monter des supports optiques ou UDF, vérifiez avec findmnt -t udf avant d'appliquer et excluez-y la règle.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.1.1.8, 1.1.1.7 | direct | per OS, see the benchmark table | haute |
| NIST | 3.4.6, CM-6(a), CM-7(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.