CI: Fix the name of engine_unit-test_no_coverage (II)

CI: Fix the name of engine_unit-test_no_coverage

CI: Add a unit-test without collecting coverage (tired of codecov failures)

Merge branch 'skip_sysctl'

Refers to #125.

Thanks for the collaboration, @cotequeiroz

Style fixes, should be no functional changes

Fix the reason and decision of the KEXEC_CORE check

KSPP doesn't recommend to disable it.

Refers to #125

Fix the reason and decision of the BPF_JIT check

KSPP doesn't recommend to disable it.

Refers to #125

Restore the `dev.tty.legacy_tiocsti` check

The kernel documentations says:
```
Historically the kernel has allowed TIOCSTI, which will push
characters into a controlling TTY. This continues to be used
as a malicious privilege escalation mechanism, and provides no
meaningful real-world utility any more. Its use is considered
a dangerous legacy operation, and can be disabled on most
systems.
```
https://elixir.bootlin.com/linux/v6.8.8/source/drivers/tty/Kconfig#L152

In other words, not having the `dev.tty.legacy_tiocsti` sysctl means that
the dangerous functionality is enabled by default.

Use CONFIG_LOCALVERSION instead of CONFIG_DEFAULT_INIT since it's older

skip kernel.modules_disabled if MODULES not set

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Skip unprivileged_userfaultfd if USERFAULTFD unset

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Don't fail if dev.tty.legacy_tiocsti not found

The sysctl is available for Kernel 6.2 and later only.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Skip unprivileged_bpf_disabled if BPF_SYSCALL not set

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Skip kexec_load_disabled if KEXEC_CORE is not set

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Skip bpf_jit_harden sysctl if BPF_JIT is not set

Also, switch the test for root sysctl to the 'kernel.cad_pid' symbol.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Merge branch 'cpu_depend'

Thanks, @cotequeiroz.

Refers to #123

Fix the reason and decision for CPU_SUP_INTEL

Style fixes

Skip CPU-dependent checks if CPU is not supported

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Like grep, colorize the output only if stdout is connected to a terminal

Nice.
With this, if you redirect the output of kernel-hardening-checker to a file,
it doesn't contain the ANSI escape sequences for colorizing.

Don't use the `type` name for the class methods

There should be no functional changes

Add the BLK_DEV_WRITE_MOUNTED/bdev_allow_write_mounted check

And fix the check order by the way.

Thanks to @izh1979 for the idea

CI: codecov-action@v3.1.5 with token doesn't work well, go to v4 (facepalm)

CI: Return to codecov-action@v3.1.5, but with tokens

codecov-action@v4 is unstable and sometimes gives the error:
```
Codecov: Failed to properly create commit: The process '/home/runner/work/_actions/codecov/codecov-action/v4/dist/codecov' failed with exit code 1
```

CI: Update python versions

Add the links to the corresponding codecov pages in the README badges

CI: Move to codecov-action@4

Again, trying to fix the error
```
Codecov: Failed to properly upload: The process '/home/runner/work/_actions/codecov/codecov-action/v3/dist/codecov' failed with exit code 255
```
https://github.com/codecov/codecov-action/issues/598

CI: Move to codecov-action@v3.1.5

Trying to fix the error
```
Codecov: Failed to properly upload: The process '/home/runner/work/_actions/codecov/codecov-action/v3/dist/codecov' failed with exit code 255
```
https://github.com/codecov/codecov-action/issues/598

Merge branch 'shstk'

Refers to #114, #120

Thanks, @jvoisin.

Fix 'decision' for the X86_USER_SHADOW_STACK check

Refers to #114, #120

Add a check for X86_USER_SHADOW_STACK

This should close #114

Add a comment that 'user.max_user_namespaces=0' may break the upower daemon

Update the README

Improve the CONFIG_CFI_CLANG checks (add the CONFIG_CC_IS_CLANG dependency)

Refers to #102

Drop the GCC_PLUGINS check (checking CC_IS_GCC is enough)

Refers to #102

Add the CONFIG_CC_IS_GCC dependency for gcc plugins

Refers to #102

Don't require GCC_PLUGINS separately

It's auxiliary for building with gcc and it's not needed for building with
clang.

Refers to #102

Rename the 'my' check decision to 'a13xp0p0v'

'my' checks look like the checks created by a user of the tool.
Let's fix that and take the responsibility :)

Refers to #50

Make the table column names and JSON field names fit each other

Refers to #108, #115

Merge remote-tracking branch 'krishjainx/improve-json-output'

Refers to #108, #115

update

fix issues

Fix tests to work with new JSON schema

Improve JSON output format for enhanced processing

Improve the DEBUG_CREDENTIALS check

Useful DEBUG_CREDENTIALS was dropped in v6.6.8

Refers to #97

Fix the false result of the REFCOUNT_FULL check for kernels > v5.4.208

Refers to #88, #89

Have to revert codecov back to v3

Details about the error:
https://github.com/codecov/codecov-action/issues/1292

Update codecov-action

This fixes the error:
```
Node.js 16 actions are deprecated.
Please update the following actions to use Node.js 20.
```

Adapt test_version() in the unittest

Refers to #88, #89, #97

Check all 3 numbers of the kernel version in VersionCheck

Refers to #88, #89, #97

Fix the fresh set_state() bug found by unittest

This function should write 'self.state' anyway.

Refers to #88, #89, #97

Make `python -m unittest` show the whole output

Update github actions

This fixes the error:
```
Node.js 16 actions are deprecated.
Please update the following actions to use Node.js 20.
```

Implement the set_state() method of the check classes

Refers to #88, #89, #97

Use 3 numbers in the VersionCheck constructor

Refers to #88, #89, #97

Parse all numbers of the kernel version

Refers to #88, #89, #97

Skip the kernel version part after '-'

Example:
# Linux/x86_64 6.7.4-200.fc39.x86_64 Kernel Configuration

Refers to #88, #89, #97

Add the ia32_emulation check

Refers to #87 #112

Add MODULE_SIG_SHA3_512 as a valid option

Refers to #107

Make LOCKDOWN_LSM 'self_protection', not 'security_policy'

Ready for the release 0.6.6

Update issues.md

Update the README

Update the Ubuntu example configs

Don't print the warning about ARCH_MMAP_RND_BITS in the json mode

Improve the check of DEBUG_NOTIFIERS feature (part 2)

CFI_PERMISSIVE should be disabled. Reacting with a kernel warning
is not enough.

Thanks to @thestinger for the idea.

Refers to #99.

Improve the check of DEBUG_NOTIFIERS feature

This is what DEBUG_NOTIFIERS performs (see kernel/notifier.c):

```
#ifdef CONFIG_DEBUG_NOTIFIERS
if (unlikely(!func_ptr_is_kernel_text(nb->notifier_call))) {
WARN(1, "Invalid notifier called!");
nb = next_nb;
continue;
}
#endif
```

CFI can do the same better.

Thanks to @thestinger for the idea.

Refers to #99.

Improve the check of SCHED_STACK_END_CHECK.

SCHED_STACK_END_CHECK checks the magic value at the end
of the kernel thread stack, and VMAP_STACK adds guard pages near it.
So they do a bit different things, but VMAP_STACK is more reliable.

Thanks to @thestinger for the idea.

Refers to #98.

Fix style (III)

Use f-strings.

Fix style (II)

Fix style (I)

Disable pylint too-many-locals, it's not useful for add_kconfig_checks()

Fix pylint W0613: Unused argument 'arch'

Fix pylint E1101: Instance of 'OptCheck' has no 'type' member

Fix pylint W0613: Unused argument 'mode'

Update the NixOS configs

Don't add options without explicitly recommended values to Kconfig fragments

That's important for the '--generate' mode.

UBSAN_SANITIZE_ALL is now available for ARM

Fix the order in the vdso32 check (part II)

Fix the order in the vdso32 check

Improve the hackish refinement of the CONFIG_ARCH_MMAP_RND_BITS check

Don't check CONFIG_ARCH_MMAP_RND_BITS if CONFIG_ARCH_MMAP_RND_BITS_MAX
was not found.

Show the option type in print_unknown_options()

That improves debugging.

Use raw strings for regular expression

Fix the 'decision' for the 'AIO' check

Fix the 'decision' for the 'vdso32' check

Improve the comment for the 'slab_common.usercopy_fallback' check

Fix the arch condition for the SCHED_CORE check (III)

SCHED_CORE is finally available for ARM64 and ARM.

SCHED_SMT was needed for that.

Update the KSPP recommendations

Fix the arch for the CPU_SRSO check (it's available only for x86_64)

Split the HW_RANDOM_TPM check (it's enabled by default on ARM and ARM64)

Change the 'decision' of the INIT_STACK_ALL_ZERO check

Add defconfigs for Linux v6.6

Add the RANDOM_KMALLOC_CACHES check

Refers to #83

Add the SECURITY_SELINUX_DEBUG check

Fix the 'decision' for the LEGACY_TIOCSTI check

Add the CONFIG_LIST_HARDENED check

Add the gather_data_sampling check

Add the CPU_SRSO check

Add the SPECULATION_MITIGATIONS check

Add the spec_rstack_overflow check