Noyau StackX pour Debian 11 (Bullseye) amd64 ============================================= Correctif ciblé de CVE-2026-98432 seulement, commit stable b3b027ef0cd322bfa839b9aaf5b27551eea54cf6, sur la base Debian linux 5.10.262-1. Version candidate : 5.10.262-1+sx1. uname -r attendu : 5.10.0-46-sx1-amd64. Ce n'est pas une reprise du support LTS, ni une couverture de sécurité renouvelée. Secure Boot et clé du dépôt --------------------------- L'image n'est pas signée pour le Secure Boot Debian. Secure Boot doit être désactivé. Le script ne change pas le firmware et n'enrôle aucune clé. La signature du dépôt et la signature du noyau sont deux choses distinctes. add-stackx-kernel-repo.sh vérifie l'empreinte primaire de la clé dédiée : AF97 ED98 AACE 4CE1 29A0 3B6E 2C97 36B5 93BA BF7F Cette clé signe les index APT ; leurs empreintes authentifient les paquets récupérés. Cela n'ajoute aucune signature Secure Boot au noyau. Archive prévue -------------- Adresse prévue. Ne pas l'utiliser tant que l'opérateur n'y a pas déposé les fichiers : https://mirrors.scalarx.net/kernel/bullseye/ Racine prévue : Packages, Sources, Release, InRelease, stackx-kernel-bullseye.asc, add-stackx-kernel-repo.sh, README.txt, SHA256SUMS. Sources prévues : sources/linux_5.10.262-1+sx1.dsc sources/linux_5.10.262.orig.tar.xz (archive amont Debian conservée) sources/linux_5.10.262-1+sx1.debian.tar.xz (packaging local corrigé) sources/metapackage-source.tar.xz (archive autonome, bash build.sh) Debian 11 amd64 seulement. Stretch et Buster sont refusés : aucune entrée source n'est créée pour eux. Avant l'installation -------------------- Prendre un instantané de la VM. Vérifier un accès console indépendant de SSH. Garder le noyau Debian déjà installé et linux-image-amd64. Ne pas lancer apt-get autoremove. Ajouter le dépôt ---------------- Publier le contenu kernel/bullseye/ de l'archive dans le répertoire homonyme du miroir. Vérifier l'archive avec son fichier .sha256 fourni séparément. Sur Debian 11 (Bullseye) amd64, disposer de : bash, coreutils, diffutils, grep, dpkg, apt, ca-certificates, gnupg et gpgv. En root, ajout du dépôt en une ligne : (f=$(mktemp) && trap 'rm -f "$f"' EXIT && /usr/lib/apt/apt-helper -o Acquire::https::Verify-Peer=true -o Acquire::https::Verify-Host=true download-file https://mirrors.scalarx.net/kernel/bullseye/add-stackx-kernel-repo.sh "$f" && bash "$f") Vous pouvez aussi télécharger et lire ce script avant de l'exécuter. Il vérifie la clé du dépôt et les index APT, puis affiche les mêmes étapes sur les trois distributions : simulation, puis installation explicite. Ces commandes sont affichées uniquement ; le script ne les exécute pas. Il n'installe aucun paquet, ne redémarre pas et ne modifie pas le choix de démarrage. TLS et signatures restent vérifiés ; les autres dépôts sont conservés. Fichiers gérés : /usr/share/keyrings/stackx-kernel-bullseye.gpg /etc/apt/sources.list.d/stackx-kernel-bullseye.list Ces fichiers sont créés s'ils sont absents et conservés s'ils sont identiques. Un autre contenu ou un lien symbolique entraîne un refus, sans écrasement. Installer le noyau ----------------- Commandes à exécuter en root, après l'ajout du dépôt : 1. Simuler l'installation et examiner les opérations proposées : apt-get --simulate --no-remove install stackx-kernel-bullseye-amd64 2. Si la simulation convient, installer explicitement : apt-get --no-remove install stackx-kernel-bullseye-amd64 Conserver le noyau précédent, son initramfs et linux-image-amd64. Ne pas lancer apt-get autoremove. Le métapaquet StackX est distinct. Essai et retour --------------- Avant l'installation, faire un snapshot de la VM et conserver l'accès à sa console. Sur une machine physique, prévoir une console et une possibilité de secours. Avant de redémarrer, vérifier le noyau sélectionné dans GRUB. Dans les options avancées, choisir 5.10.0-46-sx1-amd64. Redémarrer au moment choisi, puis contrôler : uname -r Résultat attendu : 5.10.0-46-sx1-amd64. Vérifier le réseau, le stockage et les services habituels. Pour revenir en arrière, sélectionner le noyau précédent dans GRUB. Aucun effacement de ses paquets n'est nécessaire. Un noyau déjà installé de numéro supérieur peut rester prioritaire dans GRUB. L'installation ne force donc pas la sélection du candidat. Attention à grub-reboot sur un périphérique diskfilter : si GRUB avertit que next_entry ne peut pas être effacé au démarrage, la sélection peut persister. Ne pas la considérer comme un retour automatique garanti. Après un essai, pour effacer uniquement cette sélection temporaire : grub-editenv /boot/grub/grubenv unset next_entry grub-editenv /boot/grub/grubenv list Le choix permanent se règle explicitement dans /etc/default/grub, puis avec update-grub. Une affectation dans le shell seule ne le sauvegarde pas. Retirer le dépôt : sudo rm /etc/apt/sources.list.d/stackx-kernel-bullseye.list sudo rm /usr/share/keyrings/stackx-kernel-bullseye.gpg sudo apt-get update Retirer les paquets StackX depuis une session amorcée sur le noyau Debian : sudo apt-get remove stackx-kernel-bullseye-amd64 linux-image-5.10.0-46-sx1-amd64 linux-headers-5.10.0-46-sx1-amd64 Résultats de validation ----------------------- Qualification réalisée le 30 octobre 2026 dans une VM Bullseye QEMU/KVM avec démarrage BIOS : installation côte à côte, démarrage du candidat, retour au noyau Debian puis nouveau démarrage du candidat. Le noyau Debian et son métapaquet sont conservés. TCP IPv4/IPv6 en boucle locale et entre interfaces virtuelles, échanges bidirectionnels et ICMP validés. Compilation, chargement et déchargement d'un module externe contre les headers du candidat validés. Test borné TCP/IPv4 IP_OPTIONS : 4 threads de 24 itérations, héritage des options et fermetures normales/avec RST ; aucune alerte noyau dans la fenêtre du test. Les deux destructeurs du binaire lié appellent kvfree_call_rcu. Ces essais ne constituent pas une reproduction déterministe de la course mémoire ni une preuve exhaustive de son absence. Les pilotes tiers et chaque matériel du parc restent à qualifier sur le pilote utilisateur. L'installateur Bash final et le dépôt signé ont été testés avec APT 2.2.4 sur la VM, sous HTTPS local utilisant le même nom d'hôte. Ajout et relance idempotente validés ; mauvaise empreinte et signature corrompue refusées, y compris avec un ancien index valide en cache. Réinstallation des cinq paquets nécessaires depuis ce dépôt signé, avec vérification APT, validée. Cette validation ne signifie pas que l'URL publique est déjà en ligne. Sources et reconstruction -------------------------- Le correctif stable exact est inclus dans le paquet source : https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git/commit/?id=b3b027ef0cd322bfa839b9aaf5b27551eea54cf6 Les licences et notices du noyau restent dans les sources distribuées. Après installation des dépendances de construction Debian 11, extraire le .dsc et lancer depuis l'arbre source (16 tâches au maximum) : DEBIAN_KERNEL_DISABLE_SIGNED=1 DEB_BUILD_OPTIONS="parallel=16 nocheck" DEB_BUILD_PROFILES="nodoc pkg.linux.mintools noudeb nopython" PYTHONHASHSEED=0 dpkg-buildpackage -us -uc -F Les tests runtime ci-dessus complètent la construction ; la batterie complète de tests Debian n'a pas été exécutée. Les paquets de débogage restent disponibles chez l'opérateur, hors de cette archive publique.