Ajouter l'option nosuid à /boot
Monte la partition /boot avec l'option nosuid afin que les bits setuid/setgid de ses fichiers soient ignorés.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
La présence d'exécutables SUID et SGID doit être strictement contrôlée, car ils s'exécutent avec les privilèges de leur propriétaire (souvent root). La partition /boot ne devrait jamais légitimement héberger de tels binaires. La monter avec nosuid force le noyau à ignorer les bits setuid/setgid sur tout fichier qui s'y trouve, empêchant ainsi qu'un binaire SUID-root déposé serve à élever les privilèges.
Ce que vérifie Pavois
Pavois lit la table de montage effective via mount('/boot') et vérifie que la liste d'options résolue contient nosuid. Cela capture l'état réel du noyau, y compris les options appliquées par les unités de montage systemd ou par un remontage ultérieur, qu'une lecture statique de /etc/fstab manquerait. Si /boot n'est pas un point de montage distinct, il n'y a pas de partition dédiée à durcir.
describe mount('/boot') do
its('options') { should include 'nosuid' }
end
describe command("{ findmnt --fstab -no OPTIONS /boot 2>/dev/null; grep -hsE '[[:space:]]/boot[[:space:]]' /etc/fstab 2>/dev/null; systemctl show -p Options -- $(systemd-escape -p --suffix=mount /boot 2>/dev/null) 2>/dev/null; } | grep -ow 'nosuid'") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez findmnt /boot (ou findmnt -no OPTIONS /boot) et vérifiez la présence de nosuid, par exemple rw,nosuid,nodev,noexec,relatime.
Inspecter et investiguer
Utilisez findmnt /boot pour inspecter les options actives. Il n'y a pas de ligne de journal dédiée, mais un binaire SUID exécuté depuis un montage nosuid s'exécute simplement sans privilèges élevés ; les enregistrements auditd EXECVE/SYSCALL dans /var/log/audit/audit.log peuvent corroborer les tentatives d'exécution.
Remédiation
Cette règle n'a pas de plan de durcissement automatisé : appliquez-la manuellement. Ajoutez nosuid à la ligne /boot de /etc/fstab (par ex. defaults,nosuid,nodev,noexec), puis mount -o remount /boot pour l'appliquer sans redémarrer, et confirmez avec findmnt /boot.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | awk -v m=/boot -v o=nosuid '$0!~/^[[:space:]]*#/&&$2==m{n=split($4,a,",");h=0;for(i=1;i<=n;i++)if(a[i]==o)h=1;if(!h)$4=$4","o}{print}' /etc/fstab >/etc/.fstab.pav && cat /etc/.fstab.pav >/etc/fstab && rm -f /etc/.fstab.pav; mountpoint -q /boot && mount -o remount,nosuid /boot || true |
|---|---|
| name | mount-boot-nosuid |
| not_if | awk -v m=/boot '$2==m&&$0!~/^[[:space:]]*#/{print $4}' /etc/fstab | tr , '\n' | grep -qx nosuid |
| resource | exec |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans nosuid, un binaire SUID-root placé sur /boot pourrait servir à une élévation de privilèges. Le changement est sans danger en pratique : /boot ne contient légitimement aucun programme SUID. Précautions : si /boot n'est pas une partition distincte, n'appliquez pas nosuid à /, la racine héberge des binaires SUID essentiels (par ex. sudo, su, passwd) et nosuid y casserait l'authentification et l'élévation de privilèges.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R28 | direct | 2.0 | haute |
| NIST | AC-6, AC-6(1), CM-6(a), CM-7(a), CM-7(b), MP-7 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.