Noyau StackX pour Debian 10 (Buster) amd64 Version : 4.19.316-1+sx1 Base Debian : linux 4.19.316-1 Noyau attendu après démarrage : 4.19.0-27-sx1-amd64 Dépôt destiné à : https://mirrors.scalarx.net/kernel/buster/ Périmètre Ce lot apporte une adaptation ciblée du correctif CVE-2026-98432 sur la branche native Debian. Il diffère de la base officielle par ce correctif et le paquetage local. Il ne constitue pas une reprise générale du support Debian ni une mise à jour de toutes les vulnérabilités de cette ancienne branche. Les options IPv4 sont libérées après un délai RCU, avec une garde explicite pour les pointeurs NULL requise par cette ancienne branche. Aucun mécanisme de migration TCP plus récent n'est importé. Référence stable : b3b027ef0cd322bfa839b9aaf5b27551eea54cf6. Les sources exactes et les sources du métapaquet sont dans sources/. Validations Construction native, présence du correctif dans le binaire, installation à côté du noyau précédent, démarrage du candidat, TCP IPv4/IPv6 avec et sans IP_OPTIONS, compilation/chargement/retrait d'un module externe, démarrage du noyau précédent puis retour au candidat : réussis en VM Buster. Validation APT native sur HTTPS isolé : ajout et répétition du script, refus d’une signature corrompue malgré un ancien cache, refus d’une mauvaise clé, puis réinstallation des sept paquets exacts depuis le dépôt signé : réussis. Ces essais fonctionnels bornés ne reproduisent pas exhaustivement la course mémoire et ne remplacent pas l'essai sur votre matériel et vos applications. Signatures Le dépôt APT est signé avec la clé noyau StackX existante. Son empreinte : AF97 ED98 AACE 4CE1 29A0 3B6E 2C97 36B5 93BA BF7F Le fichier stackx-kernel-buster.asc contient uniquement la clé publique. Le trousseau est limité à ce dépôt par signed-by. L'image du noyau n'est pas signée pour Secure Boot. La signature du dépôt APT n'est pas une signature de démarrage. Aucun script ne désactive Secure Boot ni n'enrôle une clé. Un environnement qui impose des images signées nécessite une procédure de signature et d'approbation distincte. Ajouter le dépôt ---------------- Publier le contenu kernel/buster/ de l'archive dans le répertoire homonyme du miroir. Vérifier l'archive avec son fichier .sha256 fourni séparément. Sur Debian 10 (Buster) amd64, disposer de : bash, coreutils, diffutils, grep, dpkg, apt, ca-certificates, gnupg et gpgv. En root, ajout du dépôt en une ligne : (f=$(mktemp) && trap 'rm -f "$f"' EXIT && /usr/lib/apt/apt-helper -o Acquire::https::Verify-Peer=true -o Acquire::https::Verify-Host=true download-file https://mirrors.scalarx.net/kernel/buster/add-stackx-kernel-repo.sh "$f" && bash "$f") Vous pouvez aussi télécharger et lire ce script avant de l'exécuter. Il vérifie la clé du dépôt et les index APT, puis affiche les mêmes étapes sur les trois distributions : simulation, puis installation explicite. Ces commandes sont affichées uniquement ; le script ne les exécute pas. Il n'installe aucun paquet, ne redémarre pas et ne modifie pas le choix de démarrage. TLS et signatures restent vérifiés ; les autres dépôts sont conservés. Fichiers gérés : /usr/share/keyrings/stackx-kernel-buster.gpg /etc/apt/sources.list.d/stackx-kernel-buster.list Ces fichiers sont créés s'ils sont absents et conservés s'ils sont identiques. Un autre contenu ou un lien symbolique entraîne un refus, sans écrasement. Installer le noyau ----------------- Commandes à exécuter en root, après l'ajout du dépôt : 1. Simuler l'installation et examiner les opérations proposées : apt-get --simulate --no-remove install stackx-kernel-buster-amd64 2. Si la simulation convient, installer explicitement : apt-get --no-remove install stackx-kernel-buster-amd64 Conserver le noyau précédent, son initramfs et linux-image-amd64. Ne pas lancer apt-get autoremove. Le métapaquet StackX est distinct. Essai et retour --------------- Avant l'installation, faire un snapshot de la VM et conserver l'accès à sa console. Sur une machine physique, prévoir une console et une possibilité de secours. Avant de redémarrer, vérifier le noyau sélectionné dans GRUB. Dans les options avancées, choisir 4.19.0-27-sx1-amd64. Redémarrer au moment choisi, puis contrôler : uname -r Résultat attendu : 4.19.0-27-sx1-amd64. Vérifier le réseau, le stockage et les services habituels. Pour revenir en arrière, sélectionner le noyau précédent dans GRUB. Aucun effacement de ses paquets n'est nécessaire. Un noyau déjà installé de numéro supérieur peut rester prioritaire dans GRUB. L'installation ne force donc pas la sélection du candidat. Attention à grub-reboot sur un périphérique diskfilter : si GRUB avertit que next_entry ne peut pas être effacé au démarrage, la sélection peut persister. Ne pas la considérer comme un retour automatique garanti. Après un essai, pour effacer uniquement cette sélection temporaire : grub-editenv /boot/grub/grubenv unset next_entry grub-editenv /boot/grub/grubenv list Le choix permanent se règle explicitement dans /etc/default/grub, puis avec update-grub. Une affectation dans le shell seule ne le sauvegarde pas. Contenu Image, modules inclus dans l'image Debian, en-têtes amd64 et communs, kbuild, compilateur de support, support du noyau et métapaquet StackX. Le métapaquet distinct conserve linux-image-amd64 et l'ancien noyau. MANIFEST.txt donne les révisions et le périmètre ; SHA256SUMS couvre les fichiers publics. Le dépôt contient les sources Debian exactes modifiées (.dsc, .orig.tar.xz, .debian.tar.xz) et metapackage-source.tar.xz.