Bloquer les protocoles réseau obscurs

Pourquoi il compte

Linux peut charger des pilotes de protocoles réseau anciens ou rares, comme DCCP, SCTP, AX.25 et ATM, dès qu’un programme ouvre une socket de ce type, sans administrateur. Plusieurs ont eu des bugs graves. En 2017 par exemple, une faille dans DCCP (CVE-2017-6074) donnait root à un utilisateur local en faisant charger le module par le noyau.

Comment il fonctionne

Ajoute une configuration modprobe qui fait échouer le chargement de chaque module du groupe net-protocols. Comme le noyau interroge modprobe quand un protocole inconnu est demandé, un programme ordinaire ne peut plus déclencher le chargement.

À qui il s'adresse

Presque tous les ordinateurs de bureau et serveurs. Laissez désactivé si vous employez SCTP (certains logiciels télécom et WebRTC), le bus CAN, le réseau radioamateur ou du matériel semblable.

Ce que vous pouvez remarquer

Presque jamais. Un programme ayant besoin d’un de ces protocoles échoue à ouvrir sa socket avec une erreur du type Protocol not supported ou Address family not supported.

Le vérifier sur votre ordinateur

Voir si les modules sont chargés :

lsmod | grep -E '^(dccp|sctp|rds|tipc|n-hdlc|ax25|netrom|x25|rose|decnet|econet|af_802154|ipx|appletalk|psnap|p8023|p8022|can|atm) '

L'appliquer à la main

Dire au système de ne pas les charger, dans un fichier qui vous appartient :

sudo tee /etc/modprobe.d/90-modules-net-protocols.conf <<'EOF'
install dccp /bin/false
install sctp /bin/false
install rds /bin/false
install tipc /bin/false
install n-hdlc /bin/false
install ax25 /bin/false
install netrom /bin/false
install x25 /bin/false
install rose /bin/false
install decnet /bin/false
install econet /bin/false
install af_802154 /bin/false
install ipx /bin/false
install appletalk /bin/false
install psnap /bin/false
install p8023 /bin/false
install p8022 /bin/false
install can /bin/false
install atm /bin/false
EOF

L'annuler

Supprimez le fichier. Les modules déjà chargés restent jusqu'au prochain redémarrage.

Réglages liés

• Bloquer les systèmes de fichiers rarement utilisés
• Ne pas charger les disciplines de ligne de terminal à la demande

Sources

Linux Hardening Guide (madaidans)

2.5.2