KubeArmor

KubeArmor는 파드, 컨테이너, 노드VM의 동작프로세스 실행, 파일 접근, 네트워킹 작업 등을 시스템 수준에서 제한하는 클라우드 네이티브 런타임 보안 강제Enforcement 시스템입니다. KubeArmor는 AppArmor, SELinux, 또는 BPF-LSM과 같은 Linux 보안 모듈LSM을 활용하여 사용자가 지정한 정책을 강제합니다. KubeArmor는 eBPF를 활용하여 컨테이너/파드/네임...

owLSM

🛡️ owLSM은 Linux를 위한 방지 및 탐지의 최고 표준이 되고자 합니다 🛡️ owLSM은 예방에 초점을 맞춘 상태 저장 Sigma 규칙 엔진을 구현하는 eBPF LSM 에이전트입니다. 프로젝트 소개: owLSM은 세 가지 주요 사항에 중점을 둡니다: 1 eBPF LSM을 통해 구현된 Sigma 규칙 엔진을 사용한 방지 기능. 2 상태 저장 방지 기능을 위한 eBPF 프로브 간 데이터 상관 관계. 3 각 이벤트에 보안 전문가가 필요로 하는 모든 컨텍스트가 포함된 보안 중심의 시스템 모니터링. 대상: Linux 시스템을...

lockc

lockc is open source sofware for providing MAC Mandatory Access Control type of security audit for container workloads. The main reason why lockc exists is that containers do not contain. Containers are not as secure and isolated as VMs. By default, they expose a lot of information about host OS...

kprotect

🛡️ kprotect 概要 kprotect は、サプライチェーン攻撃（悪意のある Python や Node.js ライブラリなど）から機密データを保護するために設計されたカーネルレベルのセキュリティエンジンです。最も機密性の高いファイルに対して独立したセキュリティレイヤーとして機能します。 eBPF-LSM による強制 ：パスパターンやワイルドカード（例：.env、home/user/.ssh/）に基づいて、ファイルアクセスをカーネルレベルでインターセプトします。 系統（Lineage）検証 ：単一のバイナリだけでなく、プロセスチェーン を検証します。 ✅ VS Code →...

LID

██╗ ██╗██████╗ ██║ ██║██╔══██╗ ██║ ██║██║ ██║ ██║ ██║██║ ██║ ███████╗██║██████╔╝ ╚══════╝╚═╝╚═════╝ Linux Integrity Drift — 「Linuxは死にかけている」 — LSMのセキュリティ保証を迂回するカーネルコードパスの体系的な発見 門は破られたのではない。迂回されたのだ。 LIDとは何か？ Linux Security Moduleフレームワークには、20年以上 にわたって維持されてきた中核的な保証が1つあります： セキュリティモジュールは制限を追加...

block-copyfail

概要 CVE-2026-31431（「Copy Fail」）は、Linuxカーネルのalgifaead暗号インターフェースにおける権限昇格の脆弱性です。攻撃者はauthencesnアルゴリズムを使用したAFALGソケットとspliceを利用して、カーネルページキャッシュ内の任意のファイル（/usr/bin/suなどのsetuidバイナリを含む）を破損させることができます。 本ドキュメントでは、Copy Failで悪用されるサブシステムであるAFALG AEADバインドをすべてブロックするBPF LSM DaemonSetを使用した、再起動不要の修復策...

deny-af-alg-bpf

deny-af-alg-bpf 説明 AFALG（Linuxカーネル暗号API）ソケットの作成をブロックし、すべての試行をリングバッファ経由でユーザースペースにログ記録するBPF LSMプログラムです。 機能 lsm/socketcreate フックにアタッチします socketAFALG, ... 呼び出しを -EPERM で拒否します 構造化イベント（pid、comm）をBPFリングバッファに出力します ユーザースペースデーモンがリングバッファを読み取り、stderrにログ記録します（systemdジャーナルで処理されます） コンポーネント プログラム denyafalg.bpf.c...

block-copyfail

block-copyfail CVE-2026-31431（「Copy Fail」）に対する概念実証 のランタイム緩和策です。これは、algifaead 内の authencesn 暗号テンプレートを介したLinuxカーネルの権限昇格です。 モジュールのブラックリスト登録とは異なり、これは再起動を必要としません 。BPF LSMプログラムがsocketbindをフックし、Copy Failが悪用するサブシステムであるAFALG...

lsm_bpf_check_argc0

检查 ARGC0 LSM BPF 一个简单的 LSM BPF 程序，用于阻止 argc == 0 的程序执行，例如 pwnkit（CVE-2021-4034）。 它所做的仅仅是检查所有 exec 系统调用是否以 argc = 1 被调用。 该检查基于 Ariadne Conill 的 补丁。 如何构建 root@kitploit: 在 Ubuntu 上 $ sudo apt-get install libc6-dev-i386 libbpf0 libbpf-dev 在 Fedora 35 上 $ sudo dnf install clang bpftool libbpf-devel...

copy-fail-blocker

copy-fail-blocker CVE-2026-31431（「Copy Fail」）および Dirty Frag の RxRPC 亜種、ならびに AFALG または AFRXRPC ソケットファミリ経由で到達可能なカーネル側インプレース暗号パスへのユーザー空間アクセスに依存する類似の権限昇格脆弱性に対する BPF-LSM 緩和策です。 小さな DaemonSet が、すべてのノードの socketcreate フックに単一の BPF-LSM プログラムをアタッチします。このプログラムは、プロセスのケーパビリティ、名前空間、seccomp プロファイルに関係なく、ユーザー空間 からの...

bombini

Bombini: eBPFベースのセキュリティ監視およびサンドボックスエージェント Bombini は、Aya ライブラリを使用して完全に Rust で書かれた eBPF ベースのセキュリティエージェントであり、LSM Linux Security Module BPF フック上に構築されています。その中核として、Bombini は Detector と呼ばれるモジュール式コンポーネントを採用しており、各コンポーネントが特定の種類のシステムイベントの監視と報告を担当します。 はじめに まず、互換性に関する問題を確認してください。 現在最も便利な方法は、Bombini...

cplt

cplt AIコーディングエージェント向けのカーネル強制サンドボックス。 cpltはGitHub Copilot CLI、OpenCode、Gemini CLI、Antigravity CLI、Pi、Claude Code、goose、DeepSeek Harness、または任意のシェルをラップし、エージェントがコードを書けるようにしつつ、認証情報の窃取、mainへのプッシュ、PRのマージ、シークレットの持ち出しを防ぎます。 macOS : sandbox-exec 経由のApple Seatbelt/SBPL Linux : Landlock LSM + seccomp-BPF +...

agent

Bomfather Agent Bomfather Agentは、カーネル空間で動作し、ポリシーに基づいてアクションをブロックするeBPFベースのエージェントです。 私たちは、既存のソリューションで抱えていた問題を解決するためにこのエージェントを開発しました。 1. セットアップと使用が複雑すぎた。 2. 遅く、非効率だった。 3. そして、たとえセットアップが簡単であっても、セキュリティが不十分であったり、さまざまなユースケースに対応できるだけの柔軟性がなかった。 これらの点は、このプロジェクト全体を通じた私たちの北極星です。すべての機能と開発は、これらの点を満たすことを目的としていま...

CVE-2026-93594

ArcadeDB Maven artifact com.arcadedb:arcadedb-engine through 26.8.1 enforces its per-type/per-record access-control rules only in LocalBucket, keyed on file id. Query-execution paths that reach record data through LSM index files or the TimeSeries engine never invoke that permission check, so an...

EUVD-2026-82889

ArcadeDB Maven artifact com.arcadedb:arcadedb-engine through 26.8.1 enforces its per-type/per-record access-control rules only in LocalBucket, keyed on file id. Query-execution paths that reach record data through LSM index files or the TimeSeries engine never invoke that permission check, so an...

CVE-2026-93594

ArcadeDB (Maven com.arcadedb:arcadedb-engine) through 26.8.1 enforces per-type/per-record access-control rules only in LocalBucket, keyed on file ID. Query paths reaching data through LSM index files or the TimeSeries engine skip that permission check entirely. An authenticated user denied readRe...

CVE-2026-93594 ArcadeDB before 26.9.1 ACL Bypass via Index and TimeSeries

ArcadeDB Maven artifact com.arcadedb:arcadedb-engine through 26.8.1 enforces its per-type/per-record access-control rules only in LocalBucket, keyed on file id. Query-execution paths that reach record data through LSM index files or the TimeSeries engine never invoke that permission check, so an...

CVE-2026-93594: Incorrect Authorization

ArcadeDB Maven artifact com.arcadedb:arcadedb-engine through 26.8.1 enforces its per-type/per-record access-control rules only in LocalBucket, keyed on file id. Query-execution paths that reach record data through LSM index files or the TimeSeries engine never invoke that permission check, so an...

CVE-2026-93173: Undefined Security Weakness

In the Linux kernel, the following vulnerability has been resolved: bpf,lsm: Drop bpfprogfree from sleepablelsmhooks bpfprogputrcu is the callrcu callback for non-sleepable programs. securitybpfprogfree called from there fires bpfprogfree in softirq; if a sleepable LSM prog is attached to that...

CVE-2026-90299: Undefined Security Weakness

In the Linux kernel, the following vulnerability has been resolved: bpf: Fix sleepable check for tracing/lsm prog When CONFIGFUNCTIONERRORINJECTION is disabled, a sleepable tracing prog is allowed to attach to 'x64'-alike prefix symbols. It is because the verifier does not verify whether the symb...