mc493/kshieldNotfall-Hotpatching zur Zero-Downtime-Verteidigung des Linux-Kernels und zur Entschärfung der Angriffsfläche. Aktives Hotpatching für CVE-2026-98432 (MPTCP RCE), CVE-2024-1086, CVE-2026-53266 & Seccomp-Sandboxing.
-red.svg){kind=icon}
-darkred.svg){kind=icon}
-orange.svg){kind=icon}
-black?style=flat-square){kind=icon}
kshield (Implementierung des Universal Kernel Defense Framework / UKDF) ist eine Verteidigungsengine für Unternehmenssysteme, die entwickelt wurde, um ausnutzbare Angriffsflächen des Linux-Kernels systematisch zu beseitigen, ohne dass eine Neukompilierung des Kernels, Neustarts oder Ausfallzeiten von Produktionsdiensten erforderlich sind.
Sie bietet sofortige, abhängigkeitsfreie kompensierende Kontrollen für den Tag 0 und Exploit-Pfad-Prävention gegen kritische Primitiven der Pre-Authentication- und lokalen Privilegieneskalation im Zusammenhang mit:
nf_tables.ebtables.AF_ALG-Sockets.io_uring, fsopen-Heap-Overflow und route4-Use-After-Free.Alle Verteidigungsaktionen werden kryptografisch verkettet und über ein WORM-Audit-Ledger mit doppelter Zeugenschaft und ausschließlich anhängenden Einträgen unabhängig notariell beglaubigt.
Wenn kritische Schwachstellen in den CISA-Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen werden, liefert kshield sofortige, verifizierte operative Gegenmaßnahmen:
| Ziel-CVE | Betroffenes Subsystem | Angriffsvektor | Kompensierende Kontrolle von kshield | Mechanismus ohne Ausfallzeit |
|---|---|---|---|---|
| CVE-2026-98432 | IPv4 / Multipath TCP | Remote-Pre-Auth-Root-RCE | net.mptcp.enabled = 0 | Sysctl-Deaktivierung + /run/sysctl.d-Injektion |
| CVE-2026-53266 | Netfilter (ebtables) | Lokale Kernel-Speicherkorruption | Deaktivierung des Modul-Loaders (/bin/true) | RAM-Verdrängung (modprobe -r) + flüchtige /run/modprobe.d-Überschreibung |
| CVE-2025-39964 | Crypto Netlink (AF_ALG) | Container-Ausbruch / LPE | Synchrones Seccomp-Gating | Gibt EACCES (SCMP_ACT_ERRNO) bei socket(38) vor der Ring-0-Dispatch zurück |
| CVE-2024-1086 | Netfilter (nf_tables) | Double-Free-Kernel-LPE | Verdrängung ruhender Protokolle | Beschränkt unprivilegierte User-Namespaces + Loader-Blockierung |
| CVE-2022-2602 | io_uring-Kern | Asynchrone I/O-Privilegieneskalation | Seccomp-Syscall-Abfangung | Blockiert io_uring_setup ohne Auswirkungen auf die Laufzeitlatenz |
[!NOTE] Architektonische und forschungsbezogene Abgrenzung:
Das Universal Kernel Defense Framework (UKDF) und seine Referenz-Enginekshieldstellen eine unabhängige systemtechnische Architektur dar, die für Day-0-Kompensationskontrollen, Seccomp-Sandboxing und append-only kryptografische WORM-Notarisierung entwickelt wurde. Es besteht keine Zugehörigkeit oder architektonische Verbindung zu früheren akademischen Forschungspapieren oder akademischen Verteidigungsprototypen, die ähnliche Terminologie oder Akronyme verwenden (wie akademische eBPF-Runtime-Defense-Papiere mit dem Titel kShield). UKDF arbeitet ausdrücklich ohne In-Kernel-eBPF-Instrumentierung und stützt sich stattdessen auf deterministisches Syscall-Gating, modprobe-Loader-Versiegelung und kryptografische Verkettung mit POSIX-Standardbibliotheken.
┌─────────────────────────────────────────────────────────────────────────────┐
│ UNIVERSAL KERNEL DEFENSE FRAMEWORK (UKDF) │
│ Reference Engine & Unified CLI: kshield │
├─────────────────────┬─────────────────────┬─────────────────────────────────┤
│ 1. Attack Surface │ 2. Targeted Seccomp │ 3. Cryptographic Dual-Witness │
│ Audit & Disarm │ Exploit Gating │ Append-Only Ledger │
├─────────────────────┼─────────────────────┼─────────────────────────────────┤
│ • Scans 40+ dormant │ • Drops io_uring, │ • Sequential SHA-256 hash chain │
│ legacy protocols │ userfaultfd, │ • Sub-100µs NVMe append latency │
│ • Prunes attackable │ kexec, AF_ALG │ • Sub-2ms cross-node replication│
│ code paths in RAM │ • Sub-microsecond │ • 60-second Dead-Man Switch │
│ • 60s rollback timer│ syscall overhead │ • >70,000 records/sec verify │
└─────────────────────┴─────────────────────┴─────────────────────────────────┘
kshield): Ausschließlich mit der Python-Standardbibliothek und C-Types-libc-Wrappern geschrieben. Die Kern-CLI erfordert null Drittanbieter-Pakete, null Kompilierungsschritte und läuft überall, von einem minimalen Container bis zu einem Enterprise-Server. Enthält sowohl natives Ledger-Anhängen mit POSIX-Advisory-Dateisperrung (record-event mit fcntl.flock) als auch kryptografische Verifikation (verify-ledger) und bietet zusätzlich ein optionales Paar aus verteiltem Publisher- und Witness-Daemon mit entkoppelten Abhängigkeiten in daemon/requirements.txt.kshield automatisch einen Rollback auf einen kryptografischen Snapshot durch.