mc493/kshieldDéfense d'urgence du noyau Linux sans interruption de service et désarmement de la surface d'attaque. Hotpatching actif pour CVE-2026-98432 (RCE MPTCP), CVE-2024-1086, CVE-2026-53266 et sandboxing Seccomp.
-red.svg){kind=icon}
-darkred.svg){kind=icon}
-orange.svg){kind=icon}
-black?style=flat-square){kind=icon}
kshield (implémentant le Universal Kernel Defense Framework / UKDF) est un moteur de défense des systèmes d'entreprise conçu pour éliminer systématiquement les surfaces d'attaque exploitables du noyau Linux sans nécessiter de recompilation du noyau, de redémarrage ou d'interruption des services en production.
Il fournit des mesures compensatoires immédiates et sans dépendance de Jour-0 ainsi qu'une prévention des chemins d'exploitation ciblant les primitives critiques de pré-authentification et d'élévation de privilèges locales associées à :
nf_tables de Netfilter.ebtables du pontage Netfilter.AF_ALG de Crypto Netlink.io_uring, débordement de tas fsopen et use-after-free route4.Toutes les actions de défense sont chaînées cryptographiquement et notariées de manière indépendante via un registre d'audit WORM en ajout seul à double témoin.
Lorsque des vulnérabilités critiques sont ajoutées au catalogue Known Exploited Vulnerabilities (KEV) de la CISA, kshield fournit une atténuation opérationnelle instantanée et vérifiée :
| CVE ciblée | Sous-système affecté | Vecteur d'attaque | Mesure compensatoire kshield | Mécanisme à zéro interruption |
|---|---|---|---|---|
| CVE-2026-98432 | IPv4 / Multipath TCP | RCE root à distance en pré-authentification | net.mptcp.enabled = 0 | Désarmement sysctl + injection dans /run/sysctl.d |
| CVE-2026-53266 | Netfilter (ebtables) | Corruption mémoire du noyau locale | Désarmement du chargeur de modules (/bin/true) | Éviction de la RAM (modprobe -r) + surcharge volatile dans /run/modprobe.d |
| CVE-2025-39964 | Crypto Netlink (AF_ALG) | Évasion de conteneur / LPE | Filtrage Seccomp synchrone | Renvoie EACCES (SCMP_ACT_ERRNO) sur socket(38) avant la répartition en ring-0 |
| CVE-2024-1086 | Netfilter (nf_tables) | LPE noyau par double-free | Éviction des protocoles dormants | Restreint les espaces de noms utilisateur non privilégiés + blocage du chargeur |
| CVE-2022-2602 | Cœur io_uring | Élévation de privilèges via E/S asynchrones | Interception d'appels système par Seccomp | Bloque io_uring_setup sans impact sur la latence d'exécution |
[!NOTE] Clarification architecturale et de recherche :
Le Universal Kernel Defense Framework (UKDF) et son moteur de référencekshieldreprésentent une architecture d'ingénierie système indépendante conçue pour les contrôles compensatoires Day-0, le sandboxing Seccomp et la notarisation cryptographique WORM en ajout seul. Il n'a aucune affiliation ni connexion architecturale avec des articles de recherche académique antérieurs ou des prototypes de défense académiques qui utilisent une terminologie ou des acronymes similaires (tels que les articles académiques sur la défense d'exécution eBPF intitulés kShield). UKDF fonctionne explicitement sans instrumentation eBPF dans le noyau, s'appuyant plutôt sur un filtrage déterministe des appels système, le scellement du chargeur modprobe et le chaînage cryptographique POSIX de la bibliothèque standard.
┌─────────────────────────────────────────────────────────────────────────────┐
│ UNIVERSAL KERNEL DEFENSE FRAMEWORK (UKDF) │
│ Reference Engine & Unified CLI: kshield │
├─────────────────────┬─────────────────────┬─────────────────────────────────┤
│ 1. Attack Surface │ 2. Targeted Seccomp │ 3. Cryptographic Dual-Witness │
│ Audit & Disarm │ Exploit Gating │ Append-Only Ledger │
├─────────────────────┼─────────────────────┼─────────────────────────────────┤
│ • Scans 40+ dormant │ • Drops io_uring, │ • Sequential SHA-256 hash chain │
│ legacy protocols │ userfaultfd, │ • Sub-100µs NVMe append latency │
│ • Prunes attackable │ kexec, AF_ALG │ • Sub-2ms cross-node replication│
│ code paths in RAM │ • Sub-microsecond │ • 60-second Dead-Man Switch │
│ • 60s rollback timer│ syscall overhead │ • >70,000 records/sec verify │
└─────────────────────┴─────────────────────┴─────────────────────────────────┘
kshield) : Écrit uniquement à l'aide de la bibliothèque standard Python et de wrappers libc C-types. Le CLI principal ne nécessite aucun paquet tiers, aucune étape de compilation, et s'exécute partout, d'un conteneur minimal à un serveur d'entreprise. Il inclut à la fois l'ajout natif au registre avec verrouillage consultatif de fichiers POSIX (record-event avec fcntl.flock) et la vérification cryptographique (verify-ledger), tout en fournissant une paire optionnelle de démon éditeur/témoin distribué avec des dépendances découplées dans daemon/requirements.txt.kshield revient automatiquement à un instantané cryptographique.