Ajouter l'option nosuid à /var
Monter /var avec l'option nosuid afin que les bits SUID/SGID des fichiers qui s'y trouvent soient ignorés par le noyau.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Les exécutables SUID et SGID s'exécutent avec des privilèges élevés et doivent être strictement contrôlés. Monter /var avec nosuid empêche le noyau d'honorer les bits SUID/SGID sur tout fichier qui s'y trouve : un attaquant qui dépose un binaire SUID-root dans une partie inscriptible de /var ne pourra pas s'en servir pour élever ses privilèges.
Ce que vérifie Pavois
Pavois lit les options de montage effectives via mount('/var'), reflétant l'état réel du système de fichiers vu par le noyau. Cela détecte les options posées par remontages, unités de montage systemd ou surcharges de fstab qu'un scanner se limitant à /etc/fstab manquerait.
describe mount('/var') do
its('options') { should include 'nosuid' }
end
describe command("{ findmnt --fstab -no OPTIONS /var 2>/dev/null; grep -hsE '[[:space:]]/var[[:space:]]' /etc/fstab 2>/dev/null; systemctl show -p Options -- $(systemd-escape -p --suffix=mount /var 2>/dev/null) 2>/dev/null; } | grep -ow 'nosuid'") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez findmnt -no OPTIONS /var et vérifiez la présence de nosuid. Exemple de sortie : rw,nosuid,nodev,noexec,relatime.
Inspecter et investiguer
Inspectez l'état de montage avec findmnt /var et mount | grep ' /var '. Les événements de montage du noyau apparaissent dans journalctl -k / dmesg. Pour repérer les fichiers SUID qui seraient neutralisés : find /var -perm -4000 -o -perm -2000.
Remédiation
Il n'existe aucun plan de durcissement automatisé pour cette règle, car /var doit être une partition séparée pour porter des options de montage. Appliquez-la manuellement : assurez-vous que /var est un système de fichiers distinct, ajoutez nosuid à son entrée /etc/fstab (ou à l'unité de montage systemd), puis mount -o remount /var et redémarrez pour confirmer la persistance.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | awk -v m=/var -v o=nosuid '$0!~/^[[:space:]]*#/&&$2==m{n=split($4,a,",");h=0;for(i=1;i<=n;i++)if(a[i]==o)h=1;if(!h)$4=$4","o}{print}' /etc/fstab >/etc/.fstab.pav && cat /etc/.fstab.pav >/etc/fstab && rm -f /etc/.fstab.pav; mountpoint -q /var && mount -o remount,nosuid /var || true |
|---|---|
| name | mount-var-nosuid |
| not_if | awk -v m=/var '$2==m&&$0!~/^[[:space:]]*#/{print $4}' /etc/fstab | tr , '\n' | grep -qx nosuid |
| resource | exec |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Ce qui peut casser : les binaires SUID/SGID légitimes stockés sous /var (rare, mais certains logiciels tiers y placent des assistants) perdront leurs privilèges élevés et risquent d'échouer. Précautions : avant d'appliquer, listez les fichiers concernés avec find /var -perm -4000 -o -perm -2000 et déplacez tout binaire nécessaire vers un chemin approprié (par ex. /usr/bin). Si /var n'est pas déjà une partition séparée, c'est une opération de repartitionnement planifiée avec migration de données, pas un remontage à chaud.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R28 | direct | 2.0 | haute |
| CIS | 1.1.2.4.3 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.