Ajouter l'option nosuid à /var/tmp
Monter /var/tmp avec l'option nosuid afin que les bits SUID/SGID des fichiers qui s'y trouvent soient ignorés par le noyau.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Les exécutables SUID et SGID s'exécutent avec des privilèges élevés et doivent être strictement contrôlés, les utilisateurs ne devraient jamais pouvoir lancer de binaires SUID/SGID depuis un stockage temporaire. Monter /var/tmp avec nosuid force le noyau à ignorer ces bits : un binaire SUID-root déposé dans ce répertoire inscriptible par tous ne pourra pas servir à élever les privilèges.
Ce que vérifie Pavois
Pavois lit les options de montage effectives via mount('/var/tmp'), la vue réelle du noyau. Comme /var/tmp est souvent un montage lié ou un tmpfs systemd, cela détecte les configurations à l'exécution ou par bind qu'une simple analyse de /etc/fstab manquerait.
describe mount('/var/tmp') do
its('options') { should include 'nosuid' }
end
describe command("{ findmnt --fstab -no OPTIONS /var/tmp 2>/dev/null; grep -hsE '[[:space:]]/var/tmp[[:space:]]' /etc/fstab 2>/dev/null; systemctl show -p Options -- $(systemd-escape -p --suffix=mount /var/tmp 2>/dev/null) 2>/dev/null; } | grep -ow 'nosuid'") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez findmnt -no OPTIONS /var/tmp et vérifiez la présence de nosuid. Exemple de sortie : rw,nosuid,nodev,noexec,relatime.
Inspecter et investiguer
Inspectez l'état de montage avec findmnt /var/tmp et mount | grep ' /var/tmp '. Les événements de montage du noyau apparaissent dans journalctl -k / dmesg. Pour repérer les fichiers SUID qui seraient neutralisés : find /var/tmp -perm -4000 -o -perm -2000.
Remédiation
Il n'existe aucun plan de durcissement automatisé pour cette règle, car /var/tmp doit être un système de fichiers ou montage lié séparé pour porter ses propres options. Appliquez-la manuellement : configurez /var/tmp comme un montage distinct, ajoutez nosuid à son entrée /etc/fstab (ou à l'unité de montage systemd), puis mount -o remount /var/tmp et redémarrez pour confirmer la persistance.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | awk -v m=/var/tmp -v o=nosuid '$0!~/^[[:space:]]*#/&&$2==m{n=split($4,a,",");h=0;for(i=1;i<=n;i++)if(a[i]==o)h=1;if(!h)$4=$4","o}{print}' /etc/fstab >/etc/.fstab.pav && cat /etc/.fstab.pav >/etc/fstab && rm -f /etc/.fstab.pav; mountpoint -q /var/tmp && mount -o remount,nosuid /var/tmp || true |
|---|---|
| name | mount-var-tmp-nosuid |
| not_if | awk -v m=/var/tmp '$2==m&&$0!~/^[[:space:]]*#/{print $4}' /etc/fstab | tr , '\n' | grep -qx nosuid |
| resource | exec |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Ce qui peut casser : presque rien, aucun flux légitime ne stocke de binaires SUID/SGID dans un répertoire temporaire. Précautions : avant d'appliquer, vérifiez avec find /var/tmp -perm -4000 -o -perm -2000 (normalement vide). Si /var/tmp n'est pas encore un montage séparé, en faire un (souvent un bind) est le prérequis. Redémarrez pour confirmer la persistance de l'option.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R28 | direct | 2.0 | haute |
| CIS | 1.1.2.5.3 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.