Não carregar disciplinas de linha de terminal sob demanda

Por que importa

Uma linha de disciplina de TTY é um trecho de código do kernel que trata dados num terminal estilo serial. Algumas antigas tinham falhas, e um programa comum podia pedir ao kernel que as carregasse com a requisição TIOCSETD e depois explorar a falha. Não permitir o carregamento automático fecha esse caminho para usuários sem privilégio.

Como funciona

Define dev.tty.ldisc_autoload como 0. Linhas de disciplina compiladas no kernel ou já carregadas continuam funcionando, mas o kernel deixa de carregar outras a pedido de um programa sem o privilégio necessário.

Quem deve usar

Quase todos os desktops e servidores. Deixe desligado se você usa equipamento serial que depende de carregar esse módulo sob demanda, por exemplo algumas configurações de SLIP, CAN sobre serial ou modems.

O que você pode notar

Normalmente nada. Se uma ferramenta serial rara falhar com erro de linha de disciplina desconhecida, um administrador pode carregar antes o módulo correspondente à mão.

Verifique no seu computador

Leia o valor atual:

sysctl dev.tty.ldisc_autoload

Aplique à mão

Defina agora (até a próxima reinicialização):

sudo sysctl -w dev.tty.ldisc_autoload=0

Mantenha após reinicializações, em um arquivo seu:

sudo tee /etc/sysctl.d/90-kernel-ldisc-autoload.conf <<'EOF'
dev.tty.ldisc_autoload = 0
EOF
sudo sysctl --system

Desfaça

Remova o arquivo e reinicie, ou volte ao valor antigo com sysctl -w.

Configurações relacionadas

• Bloquear protocolos de rede obscuros
• Restringir o userfaultfd

Fontes

Linux Hardening Guide (madaidans)

2.2.1