harden-docker-seccomp

harden-docker-seccomp 幂等脚本，用于阻止宿主机上所有 Docker 容器创建 AFALG 套接字，以缓解 CVE-2026-31431 （“Copy Fail”）。 背景 CVE-2026-31431 是 Linux 内核 authencesn 加密模板中的一个本地权限提升漏洞，影响 2017 年至上游修复可用（主线提交 a664bf3d603d）期间构建的内核。非特权用户可以将 AFALG 套接字操作与 splice 链接起来，对任何可读文件的页缓存执行受控的 4 字节写入，以 setuid 二进制文件为目标获取 root shell。一个 732 字节的...

cve-2026-31431-mitigation

CVE-2026-31431 seccomp 缓解方案 基于 seccomp 的 CVE-2026-31431 轻量级可回退缓解方案。该漏洞是 Linux 内核 algifaead / authencesn 加密子系统中的本地提权漏洞。 通过 PAM 模块 在会话建立时加载 seccomp 过滤器，覆盖所有会话类型：su、ssh、login 等。 English 漏洞概述 类型： 本地提权 LPE 影响组件： Linux 内核 crypto/algifaead.c - in-place AEAD 操作 攻击原理： 通过 authencesn AEAD 算法的 scratch-write...

cargo-fuzz

cargo fuzz Acargo subcommand for fuzzing with libFuzzer! Easy to use! Installation $ cargo install cargo-fuzz Note: libFuzzer needs LLVM sanitizer support, so this only works on x86-64 and Aarch64, and only on Unix-like operating systems not Windows. This also needs a nightly compiler since it us...

cve-2022-0185-crash-poc

cve-2022-0185 クラッシュPOCを実行するコンテナ これは、https://www.willsroot.io/2022/01/cve-2022-0185.html のクラッシュPOCを実行するDockerコンテナです。 このコンテナはUID 65534として非特権で実行されます。docker run -uを使用するか、RunAsUserでセキュリティコンテキストを設定しても、すべて同じ結果が得られます。 実行方法 明確にしておきますが、脆弱な場合、サーバーがクラッシュします！ Docker docker run...

container-cve-2021-22555

CVE-2021-22555 の再現コードをコンテナとして提供 まず、こちらのエクスプロイトコードを便利なプリビルドコンテナとしてまとめたものです： https://github.com/google/security-research/tree/master/pocs/linux/cve-2021-22555 プリビルドコンテナ： quay.io/cgwalters/cve-2021-22555 緩和策：seccomp プロファイル 強力な緩和策として、cloneCLONENEWUSER を拒否する seccomp を有効にすることが挙げられます。アップストリームの Kubernete...

Hulios

Hulios 加固版通用 Linux 隐身与洋葱路由系统 Hulios 是一个基于 eBPF 的 Linux 透明 Tor VPN 网关。它通过将 TCP 套接字和 DNS 查询重定向到内置的 Arti （Tor 客户端）实例以及本地化的 基于 Hickory 的 DNS 解析器 ，来保护出站网络流量。通过 cgroup 钩子和策略路由在内核套接字层面运行，Hulios 实现了强大的防泄漏边界，而无需修改运行时的 resolv.conf 配置，也无需依赖外部防火墙守护进程。 🔒 安全架构 Hulios 实现了严格的权限分离运行时模型： 权限分离： 入口点监管进程以主机 root...

kafel

これは何ですか？ Kafel は、システムコールフィルタリングポリシーを指定するための言語とライブラリです。 ポリシーは BPF コードにコンパイルされ、seccomp-filter と共に使用できます。 これは Google の公式製品ではありません。 使い方 詳細なエラー報告あり struct sockfprog prog; kafelctxtt ctxt = kafelctxtcreate; kafelsetinputstringctxt, seccomppolicy; if kafelcompilectxt, &prog fprintfstderr, "policy...

seccomp-tools

Seccomp Tools Powerful tools for seccomp analysis. This project is aimed primarily but not exclusively at analyzing seccomp sandboxes in CTF pwn challenges. Some features are CTF-specific, but they're just as useful for analyzing real-world seccomp filters. Features Dump - Automatically dumps...

seccomp-tools

Seccomp Tools seccomp 解析のための強力なツール群です。 このプロジェクトは主に（ただし排他的ではなく）CTF pwn チャレンジにおける seccomp サンドボックスの解析を目的としています。 一部の機能は CTF 特有のものですが、実世界の seccomp フィルタの解析にも同様に役立ちます。 機能 Dump - 実行ファイルから seccomp BPF を自動的にダンプします。 Disasm - seccomp BPF を人間が読みやすい形式に変換します。 簡易的な逆コンパイルに対応。 可能な限りシステムコール名と引数を表示。 カラフル！ Asm -...

firejail

Firejail Firejail 是一款轻量级安全工具，旨在通过为运行（可能不可信的）应用程序设置受限环境来保护 Linux 系统。 更具体地说，它是一个 SUID 沙箱程序，通过使用 Linux 命名空间、seccomp-bpf 和 Linux 能力来降低安全漏洞的风险。它允许一个进程及其所有后代进程拥有对全局共享内核资源（如网络栈、进程表和挂载表）的私有视图。Firejail 可以在 SELinux 或 AppArmor 环境中工作，并且与 Linux 控制组集成。 该软件用 C 语言编写，几乎没有任何依赖，可在任何使用 3.x 或更新版本内核的 Linux...

Z-Jail

Z-Jail Linux上でのネイティブコード実行のためのマルチレイヤーサンドボックス。 7つの独立した防御層 — 外部依存関係なし、約73 KiBのPIEバイナリ。 ┌──────────────────────────────────────────────────────┐ │ Z-Jail │ ├──────────────────────────────────────────────────────┤ │ Truthimatics PV エビデンスベースの判定エンジン │ │ Namespaces mount, pid, net, ipc, uts │ │ pivotroot...

Rocky Linux 10.2 [CIQ] Security Update: kernel / kernel-64k / kernel-64k-core / kernel-64k-debug / etc Multiple Vulnerabilities (crlsa-2026_61887)

The Rocky Linux 10.2 host has packages installed that are affected by multiple vulnerabilities as referenced in the CIQ crlsa-202661887 advisory. kernel: seccomp: passthrough uretprobe systemcall without filtering CVE-2025-21834 kernel: ip6tunnel: use skbvlaninetprepare in ip6tnlrcv CVE-2026-2300...

docker_escape_pwn

CVE-2017-1000112 および CVE-2017-18344 を使用した Docker からのエスケープ 含まれるもの: root権限の取得 すべてのケーパビリティを取得 名前空間の復旧 ファイルシステムの復旧 cgroup制限の回避 seccompの回避...

Rocky Linux 8.8 [CIQ] Security Update: oci-seccomp-bpf-hook / oci-seccomp-bpf-hook-debuginfo / etc Multiple Vulnerabilities (ciqsa-2026_0800)

The Rocky Linux 8.8 host has packages installed that are affected by multiple vulnerabilities as referenced in the CIQ ciqsa-20260800 advisory. This advisory aggregates security fixes for the oci-seccomp-bpf-hook SRPM in CIQ LTS 8.8. It addresses 39 CVEs: CVE-2020-10756, CVE-2021-3592,...

Rocky Linux 8.6 [CIQ] Security Update: oci-seccomp-bpf-hook / oci-seccomp-bpf-hook-debuginfo / etc (ciqsa-2026_1094)

The Rocky Linux 8.6 host has packages installed that are affected by a vulnerability as referenced in the CIQ ciqsa-20261094 advisory. This advisory aggregates security fixes for the oci-seccomp-bpf-hook SRPM in CIQ LTS 8.6. It addresses 1 CVE: CVE-2024-21626. Tenable has extracted the preceding...

Rocky Linux 8.6 [CIQ] Security Update: oci-seccomp-bpf-hook Multiple Vulnerabilities (ciqsa-2026_1304)

The Rocky Linux 8.6 host has a package installed that is affected by multiple vulnerabilities as referenced in the CIQ ciqsa-20261304 advisory. This advisory aggregates security fixes for the oci-seccomp-bpf-hook SRPM in CIQ LTS 8.6. It addresses 5 CVEs: CVE-2025-52881, CVE-2025-6032,...

Rocky Linux 8.6 [CIQ] Security Update: oci-seccomp-bpf-hook / oci-seccomp-bpf-hook-debuginfo / etc Multiple Vulnerabilities (ciqsa-2026_0122)

The Rocky Linux 8.6 host has packages installed that are affected by multiple vulnerabilities as referenced in the CIQ ciqsa-20260122 advisory. This advisory aggregates security fixes for the oci-seccomp-bpf-hook SRPM in CIQ LTS 8.6. It addresses 33 CVEs: CVE-2018-25091, CVE-2024-34155,...

Rocky Linux 8.6 [CIQ] Security Update: oci-seccomp-bpf-hook / oci-seccomp-bpf-hook-debuginfo / etc Multiple Vulnerabilities (ciqsa-2026_0857)

The Rocky Linux 8.6 host has packages installed that are affected by multiple vulnerabilities as referenced in the CIQ ciqsa-20260857 advisory. This advisory aggregates security fixes for the oci-seccomp-bpf-hook SRPM in CIQ LTS 8.6. It addresses 37 CVEs: CVE-2021-36221, CVE-2021-41190,...

AlmaLinux 9.2 [TuxCare] Security Update: oci-seccomp-bpf-hook (ALMALINUX9.2:CLSA-2026:1784707996)

The AlmaLinux 9.2 host has a package installed that is affected by a vulnerability as referenced in the TuxCare ALMALINUX9.2:CLSA-2026:1784707996 advisory. - When using LookupCNAME with the cgo DNS resolver, a very long CNAME response can trigger a double-free of C memory and a crash...

SUSE CVE-2026-92574

A vulnerability in CRI-O checkpoint restore allows a user who can create a pod from a malicious checkpointed container to bypass the destination Kubernetes security context. The restored process may retain credentials, Linux capabilities, nonewprivs, and seccomp state from the checkpoint instead ...