Ajouter l'option nodev à /dev/shm
Monte le tmpfs de mémoire partagée /dev/shm avec l'option nodev afin que les fichiers de périphérique qui s'y trouvent ne soient pas interprétés.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/dev/shm est un tmpfs accessible en écriture à tous, utilisé pour la mémoire partagée. Le seul emplacement légitime pour les fichiers de périphérique est /dev sur la partition racine (la seule exception étant les chroot). Monter /dev/shm avec nodev force le noyau à ignorer tout nœud de périphérique caractère ou bloc créé à cet endroit, empêchant un attaquant de déposer un fichier de périphérique (par ex. une copie de /dev/mem ou d'un disque) pour contourner les contrôles d'accès.
Ce que vérifie Pavois
Pavois lit le montage effectif via mount('/dev/shm') et vérifie que les options résolues incluent nodev. Comme /dev/shm est monté par systemd (dev-shm.mount) et n'est pas toujours présent dans /etc/fstab, seule la table de montage réelle montre de façon fiable ses options effectives, un scanner basé sur les fichiers lisant fstab pourrait signaler un faux succès ou manquer entièrement le montage.
describe mount('/dev/shm') do
its('options') { should include 'nodev' }
end
describe command("{ findmnt --fstab -no OPTIONS /dev/shm 2>/dev/null; grep -hsE '[[:space:]]/dev/shm[[:space:]]' /etc/fstab 2>/dev/null; systemctl show -p Options -- $(systemd-escape -p --suffix=mount /dev/shm 2>/dev/null) 2>/dev/null; } | grep -ow 'nodev'") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez findmnt /dev/shm (ou findmnt -no OPTIONS /dev/shm) et vérifiez la présence de nodev, par exemple rw,nosuid,nodev,noexec,relatime.
Inspecter et investiguer
Utilisez findmnt /dev/shm pour voir les options actives et systemctl show dev-shm.mount -p Options pour la valeur gérée par systemd. Toute tentative d'utiliser un nœud de périphérique sur un montage nodev échoue à l'ouverture.
Remédiation
Cette règle n'a pas de plan de durcissement automatisé : appliquez-la manuellement. Ajoutez une entrée /dev/shm explicite dans /etc/fstab, par ex. tmpfs /dev/shm tmpfs defaults,nodev,nosuid,noexec 0 0, puis mount -o remount /dev/shm (ou systemctl restart dev-shm.mount) et vérifiez avec findmnt /dev/shm.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| device | tmpfs |
|---|---|
| fstype | tmpfs |
| mount_point | /dev/shm |
| option | nodev |
| resource | mount |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans nodev, un attaquant ayant accès en écriture à /dev/shm pourrait créer des nœuds de périphérique pour lire ou écrire la mémoire/le disque brut et contourner les permissions de fichiers. Appliquer nodev présente un risque faible : aucune application normale ne crée de fichiers de périphérique en mémoire partagée. Précaution : un remount de /dev/shm est sans interruption, mais notez que les processus détenant déjà des segments de mémoire partagée ne sont pas affectés ; vérifiez avec findmnt après le changement.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.1.2.2.2 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6, AC-6(1), CM-6(a), CM-7(a), CM-7(b), MP-7 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.