Ajouter l'option noexec à /var
Monter /var avec l'option noexec afin qu'aucun binaire ne puisse y être exécuté.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /var contient des données système variables et souvent inscriptibles (journaux, files de courrier, caches). Le monter en noexec supprime un point d'appui courant : un attaquant qui dépose une charge utile dans une partie inscriptible de /var (cache web, file d'attente) ne peut pas l'exécuter directement, ce qui bloque une étape typique d'élévation de privilèges ou de persistance.
Ce que vérifie Pavois
Pavois lit les options de montage effectives via mount('/var'), qui reflètent la vue en temps réel du noyau sur le système de fichiers. Cela détecte les options appliquées à l'exécution (remontages, unités de montage systemd, surcharges de /etc/fstab) qu'un scanner se contentant d'analyser /etc/fstab manquerait.
describe mount('/var') do
its('options') { should include 'noexec' }
end
describe command("{ findmnt --fstab -no OPTIONS /var 2>/dev/null; grep -hsE '[[:space:]]/var[[:space:]]' /etc/fstab 2>/dev/null; systemctl show -p Options -- $(systemd-escape -p --suffix=mount /var 2>/dev/null) 2>/dev/null; } | grep -ow 'noexec'") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez findmnt /var (ou findmnt -no OPTIONS /var) et vérifiez que noexec figure dans la liste des options. Exemple : findmnt -no OPTIONS /var → rw,nosuid,nodev,noexec,relatime.
Inspecter et investiguer
Inspectez l'état de montage avec findmnt /var et mount | grep ' /var '. Une tentative d'exécution bloquée se manifeste par une erreur Permission denied lors du lancement d'un binaire depuis /var ; les événements de montage du noyau apparaissent dans journalctl -k ou dmesg.
Remédiation
Il n'existe aucun plan de durcissement automatisé pour cette règle, car /var doit être une partition séparée pour porter des options de montage indépendantes. Appliquez-la manuellement : assurez-vous que /var est un système de fichiers distinct, ajoutez noexec à son entrée /etc/fstab (ou à l'unité de montage systemd), puis mount -o remount /var et redémarrez pour confirmer la persistance.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | awk -v m=/var -v o=noexec '$0!~/^[[:space:]]*#/&&$2==m{n=split($4,a,",");h=0;for(i=1;i<=n;i++)if(a[i]==o)h=1;if(!h)$4=$4","o}{print}' /etc/fstab >/etc/.fstab.pav && cat /etc/.fstab.pav >/etc/fstab && rm -f /etc/.fstab.pav; mountpoint -q /var && mount -o remount,noexec /var || true |
|---|---|
| name | mount-var-noexec |
| not_if | awk -v m=/var '$2==m&&$0!~/^[[:space:]]*#/{print $4}' /etc/fstab | tr , '\n' | grep -qx noexec |
| resource | exec |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Ce qui peut casser : les logiciels légitimes exécutant des binaires depuis /var (certains runtimes de conteneurs utilisent /var/lib/..., des scripts post-installation de paquets, certains agents) échoueront avec Permission denied. Précautions : avant d'appliquer, auditez ce qui s'exécute depuis /var (testez en pré-production). Si /var n'est pas déjà une partition séparée, le repartitionnement exige une migration de données soignée ; sur un système existant, c'est une opération de maintenance planifiée, pas un remontage à chaud. Vérifiez par un redémarrage pour que l'option persiste.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R28 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.