Ajouter l'option noexec à /var/tmp
Monter /var/tmp avec l'option noexec afin qu'aucun binaire ne puisse être exécuté depuis ce répertoire temporaire.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/var/tmp est un répertoire temporaire inscriptible par tous ; y exécuter des binaires n'est jamais nécessaire en fonctionnement normal. Le monter en noexec empêche attaquants et logiciels malveillants de lancer une charge utile déposée dans cette zone de préparation classique, coupant un chemin très courant d'élévation de privilèges et de persistance.
Ce que vérifie Pavois
Pavois lit les options de montage effectives via mount('/var/tmp'), la vue réelle du noyau. Comme /var/tmp est souvent un montage lié ou un tmpfs systemd, cela détecte les configurations à l'exécution ou par bind qu'une simple analyse de /etc/fstab manquerait.
describe mount('/var/tmp') do
its('options') { should include 'noexec' }
end
describe command("{ findmnt --fstab -no OPTIONS /var/tmp 2>/dev/null; grep -hsE '[[:space:]]/var/tmp[[:space:]]' /etc/fstab 2>/dev/null; systemctl show -p Options -- $(systemd-escape -p --suffix=mount /var/tmp 2>/dev/null) 2>/dev/null; } | grep -ow 'noexec'") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez findmnt -no OPTIONS /var/tmp et vérifiez la présence de noexec. Vous pouvez aussi tester directement : copiez /bin/true dans /var/tmp et exécutez-le, il doit échouer avec Permission denied.
Inspecter et investiguer
Inspectez l'état de montage avec findmnt /var/tmp et mount | grep ' /var/tmp '. Une tentative d'exécution bloquée se manifeste par Permission denied ; les événements de montage du noyau apparaissent dans journalctl -k / dmesg.
Remédiation
Il n'existe aucun plan de durcissement automatisé pour cette règle, car /var/tmp doit être un système de fichiers ou montage lié séparé pour porter ses propres options. Appliquez-la manuellement : configurez /var/tmp comme un montage distinct, ajoutez noexec à son entrée /etc/fstab (ou à l'unité de montage systemd), puis mount -o remount /var/tmp et redémarrez pour confirmer la persistance.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | awk -v m=/var/tmp -v o=noexec '$0!~/^[[:space:]]*#/&&$2==m{n=split($4,a,",");h=0;for(i=1;i<=n;i++)if(a[i]==o)h=1;if(!h)$4=$4","o}{print}' /etc/fstab >/etc/.fstab.pav && cat /etc/.fstab.pav >/etc/fstab && rm -f /etc/.fstab.pav; mountpoint -q /var/tmp && mount -o remount,noexec /var/tmp || true |
|---|---|
| name | mount-var-tmp-noexec |
| not_if | awk -v m=/var/tmp '$2==m&&$0!~/^[[:space:]]*#/{print $4}' /etc/fstab | tr , '\n' | grep -qx noexec |
| resource | exec |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Ce qui peut casser : les gestionnaires de paquets et installeurs qui extraient et exécutent des scripts/binaires d'aide depuis /var/tmp (certaines étapes post-installation dpkg/rpm, certains agents et outils de sauvegarde l'utilisent comme zone de travail) peuvent échouer. Précautions : avant d'appliquer, orientez ces outils vers un répertoire de travail exécutable via TMPDIR, et testez installations/mises à jour en pré-production. Si /var/tmp n'est pas encore un montage séparé, en faire un (souvent un bind) est le prérequis. Redémarrez pour confirmer la persistance de l'option.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R28 | direct | 2.0 | haute |
| CIS | 1.1.2.5.4 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.