clearhandreview/vulnerpocalypse-containmentOutils open source d'analyse de vulnérabilités, de suivi des CVE, de vérification des correctifs et de confinement temporaire de sécurité
Catalogue maintenu, pas un correcteur universel de zero-day. Ce projet suit les correctifs de sécurité divulgués publiquement liés à la recherche Anthropic/Claude et les avis de fournisseurs d'octobre 2026 issus de sources distinctes. Il contient un correctif upstream Linux original et attribué pour CVE-2026-98432, des références de mises à jour de fournisseurs pour des produits propriétaires ou signés, un vérificateur multiplateforme en lecture seule de version minimale, et un contrôle d'exécution temporaire optionnel réservé à Linux avec retour arrière explicite.
Aucune modification arbitraire du noyau ou de binaires, aucun téléchargement automatique de correctifs, aucun test d'exploitation, et aucune prétention que chaque OS ou chaque découverte d'Anthropic soit couverte. Le confinement MPTCP d'exécution Linux optionnel et explicitement approuvé est la seule modification exécutable introduite par cette boîte à outils. Si aucun correctif de fournisseur vérifié ni aucune version prise en charge n'existe, le résultat correct est inconnu / revue manuelle, jamais « corrigé ».
Pour les instructions les plus simples, ouvrez Installation facile. Choisissez votre appareil et suivez ses étapes numérotées. Vous n'avez pas besoin d'installer Python sur un téléphone. Sur ordinateur, Python 3.11–3.15 n'est nécessaire que pour exécuter les outils de vérification hors ligne optionnels de ce dépôt.
| Appareil | Étape sûre la plus rapide | Confinement optionnel |
|---|---|---|
| Windows | Paramètres → Windows Update → Rechercher des mises à jour → Redémarrer | Revue de l'exposition HTTP.sys HTTP/3 pour les administrateurs ; pas un correctif binaire |
| Mac | Réglages Système → Général → Mise à jour de logiciels | Restriction de JavaScript dans Safari ; pas un correctif complet de WebKit |
| iPhone / iPad | Réglages → Général → Mise à jour de logiciels | Éviter la navigation non fiable en attendant la mise à jour d'Apple |
| Android / Pixel | Paramètres → Système → Mises à jour du système ; vérifier aussi les mises à jour du système Google Play | Éviter les hôtes USB non fiables ; pas un correctif de l'écran de verrouillage de l'appareil |
| Linux | Utilisez les mises à jour de sécurité signées de votre distribution, puis redémarrez | Bascule optionnelle, supervisée et réversible de la fonctionnalité MPTCP (Linux uniquement) |
| Chrome | Chrome → Aide → À propos de Chrome → Relancer | Limiter l'optimisation V8 ou cesser d'utiliser un Chrome obsolète |
| Autre / non pris en charge | Utilisez la mise à jour de sécurité publiée par le fournisseur d'origine de l'appareil | Aucun correctif binaire multiplateforme universel n'existe |
Guide depuis un ordinateur portable/de bureau (aucun droit root/admin nécessaire) :
python scripts/quickstart.py guide --os linux
python scripts/quickstart.py guide --os windows
python scripts/quickstart.py guide --os macos
python scripts/quickstart.py guide --os android
Chaque guide fournit : avant de modifier quoi que ce soit → étapes simples → comment vérifier le contrôle temporaire → comment le remplacer par le correctif du fournisseur. Si un profil ne peut pas être justifié, la commande renvoie aucun profil vérifié.
Un contrôle temporaire exécutable : désactivation à l'exécution de MPTCP sous Linux. Il ne modifie que l'espace de noms courant, après une commande administrateur distincte et explicite, crée un état de restauration limité, et ne corrige PAS le noyau ni ne persiste après redémarrage. Voir Confinement d'urgence. Toutes les autres actions temporaires sont des recommandations manuelles, pas des binaires non signés.
Ne considérez pas une commande d'installation réussie comme une preuve. Consignez séparément ces éléments :
docs/VALIDATION.md contient les commandes exactes et une feuille de travail de preuves. Pour certains
produits (y compris la chaîne non mappée d'Android et les noyaux rétroportés par les fournisseurs),
le résultat doit rester inconnu / à examiner manuellement sans preuve du fournisseur.
Transfert assisté au fournisseur, pour les produits disposant d'un seuil de version publié et comparable (l'exemple utilise un avis MSRC existant) :
python scripts/vendor_handoff.py CVE-2026-33096 --os windows --version 10.0.22631.6936 --vendor-advisory-reviewed --active-version-confirmed --smoke-test-passed
Les indicateurs sont des attestations d'opérateur, et non une détection automatisée. Le résultat le plus fort est READY_FOR_CHANGE_REVIEW, jamais un retour arrière automatique ni une prétention de résistance à l'exploitation. Les versions de système d'exploitation dépourvues de seuil de version minimale vérifié sont retenues pour confirmation manuelle auprès du fournisseur.
Aucun correctif de code n'est inventé pour une faille non divulguée. La plupart des entrées du tableau de divulgation d'Anthropic n'exposent pas suffisamment de données techniques pour rédiger ou valider un correctif légitime. Un « correctif universel » pour noyau/périphérique ne peut pas être synthétisé de manière sûre à partir d'un nom de CVE ou d'une divulgation hachée. Utilisez une mesure de confinement réversible et étayée par des sources lorsqu'elle est disponible ; sinon, isolez ou cessez d'utiliser le service concerné.
Le catalogue data/containments.json contient dix guides conditionnels et limités de réduction de l'exposition. Ceux-ci n'établissent pas de remédiation de CVE. Un nouveau correctif automatique n'est accepté qu'après établissement du code source, d'une vulnérabilité reproductible, des versions prises en charge, des tests de régression, du retour arrière et de la revue. Voir Règles de contribution.
L'inventaire de plateforme en lecture seule facultatif identifie les familles de distributions (notamment Debian/Ubuntu, Fedora/RHEL, SUSE, Arch, Alpine, Void, Gentoo, NixOS et Fedora Atomic), l'architecture, un contexte micrologiciel limité, ainsi que la présence de chaînes d'outils de langages de programmation courants. Il n'exécute pas de chaînes d'outils ni de gestionnaires de paquets, n'installe pas de correctifs et ne certifie pas le micrologiciel.
python3 scripts/platform_inventory.py --json
python3 scripts/catalog.py inventory