Activer le paramètre noyau pour appliquer le DAC sur les FIFOs
Définit fs.protected_fifos=2 pour qu'un processus ne puisse pas ouvrir un FIFO qu'il ne possède pas dans un répertoire sticky accessible en écriture par le groupe ou tous, bloquant les attaques par usurpation de FIFO.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Disponible depuis Linux 4.19, fs.protected_fifos=2 interdit l'ouverture de FIFOs (tubes nommés) que l'appelant ne possède pas dans les répertoires sticky accessibles en écriture par le groupe ou tous (comme /tmp). Cela bloque une catégorie d'attaques par usurpation de FIFO, où un attaquant pré-crée un tube nommé à un emplacement où un programme privilégié s'attend à un fichier régulier neuf, détournant ou bloquant ses écritures. Appliquer le contrôle d'accès discrétionnaire (DAC) à l'ouverture des FIFOs empêche les écritures involontaires vers un tube contrôlé par l'attaquant.
Ce que vérifie Pavois
Pavois lit la valeur effective du noyau via la ressource kernel_parameter (équivalent à sysctl fs.protected_fifos), et non le contenu de /etc/sysctl.conf ou d'un drop-in *.conf. Un fichier peut déclarer une valeur jamais chargée (faute de frappe, ordre de chargement, drop-in ultérieur qui l'écrase, ou module non encore appliqué) ; lire le noyau en cours d'exécution reflète ce qui est réellement appliqué à l'instant.
describe kernel_parameter('fs.protected_fifos') do
its('value') { should cmp 2 }
end
describe command("grep -hsE '^[[:space:]]*fs.protected_fifos[[:space:]]*=[[:space:]]*2([[:space:]]|$)' /etc/sysctl.conf /etc/sysctl.d/*.conf /run/sysctl.d/*.conf /usr/lib/sysctl.d/*.conf /lib/sysctl.d/*.conf 2>/dev/null") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez sysctl fs.protected_fifos, sortie attendue fs.protected_fifos = 2.
Inspecter et investiguer
Lisez la valeur courante avec sysctl fs.protected_fifos ou cat /proc/sys/fs/protected_fifos. Lorsque la protection bloque une ouverture, le noyau ne journalise rien par défaut, mais le programme appelant reçoit EACCES ; consultez le journal d'erreurs propre à cette application.
Remédiation
Le plan de durcissement de Pavois définit la clé sysctl fs.protected_fifos à 2, l'écrit dans un drop-in géré et l'applique à chaud, de sorte que le noyau en cours d'exécution comme les démarrages suivants utilisent cette valeur. Appliqué avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | fs.protected_fifos |
|---|---|
| resource | sysctl |
| value | 2 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque très faible sur les systèmes modernes. Cela n'affecte que l'ouverture de FIFOs que vous ne possédez pas dans des répertoires sticky partagés, les applications légitimes créent leurs FIFOs dans leurs propres répertoires ou possèdent le tube. De rares logiciels anciens utilisant des tubes nommés partagés dans /tmp pourraient recevoir EACCES ; testez ces applications avant d'appliquer. Le changement est réversible en remettant la clé à 0 ou 1.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R14 | direct | 2.0 | haute |
| NIST | AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.