Merge branch 'shstk'

Refers to #114, #120

Thanks, @jvoisin.

Fix 'decision' for the X86_USER_SHADOW_STACK check

Refers to #114, #120

Add a check for X86_USER_SHADOW_STACK

This should close #114

Add a comment that 'user.max_user_namespaces=0' may break the upower daemon

Update the README

Improve the CONFIG_CFI_CLANG checks (add the CONFIG_CC_IS_CLANG dependency)

Refers to #102

Drop the GCC_PLUGINS check (checking CC_IS_GCC is enough)

Refers to #102

Add the CONFIG_CC_IS_GCC dependency for gcc plugins

Refers to #102

Don't require GCC_PLUGINS separately

It's auxiliary for building with gcc and it's not needed for building with
clang.

Refers to #102

Rename the 'my' check decision to 'a13xp0p0v'

'my' checks look like the checks created by a user of the tool.
Let's fix that and take the responsibility :)

Refers to #50

Make the table column names and JSON field names fit each other

Refers to #108, #115

Merge remote-tracking branch 'krishjainx/improve-json-output'

Refers to #108, #115

update

fix issues

Fix tests to work with new JSON schema

Improve JSON output format for enhanced processing

Improve the DEBUG_CREDENTIALS check

Useful DEBUG_CREDENTIALS was dropped in v6.6.8

Refers to #97

Fix the false result of the REFCOUNT_FULL check for kernels > v5.4.208

Refers to #88, #89

Have to revert codecov back to v3

Details about the error:
https://github.com/codecov/codecov-action/issues/1292

Update codecov-action

This fixes the error:
```
Node.js 16 actions are deprecated.
Please update the following actions to use Node.js 20.
```

Adapt test_version() in the unittest

Refers to #88, #89, #97

Check all 3 numbers of the kernel version in VersionCheck

Refers to #88, #89, #97

Fix the fresh set_state() bug found by unittest

This function should write 'self.state' anyway.

Refers to #88, #89, #97

Make `python -m unittest` show the whole output

Update github actions

This fixes the error:
```
Node.js 16 actions are deprecated.
Please update the following actions to use Node.js 20.
```

Implement the set_state() method of the check classes

Refers to #88, #89, #97

Use 3 numbers in the VersionCheck constructor

Refers to #88, #89, #97

Parse all numbers of the kernel version

Refers to #88, #89, #97

Skip the kernel version part after '-'

Example:
# Linux/x86_64 6.7.4-200.fc39.x86_64 Kernel Configuration

Refers to #88, #89, #97

Add the ia32_emulation check

Refers to #87 #112

Add MODULE_SIG_SHA3_512 as a valid option

Refers to #107

Make LOCKDOWN_LSM 'self_protection', not 'security_policy'

Ready for the release 0.6.6

Update issues.md

Update the README

Update the Ubuntu example configs

Don't print the warning about ARCH_MMAP_RND_BITS in the json mode

Improve the check of DEBUG_NOTIFIERS feature (part 2)

CFI_PERMISSIVE should be disabled. Reacting with a kernel warning
is not enough.

Thanks to @thestinger for the idea.

Refers to #99.

Improve the check of DEBUG_NOTIFIERS feature

This is what DEBUG_NOTIFIERS performs (see kernel/notifier.c):

```
#ifdef CONFIG_DEBUG_NOTIFIERS
if (unlikely(!func_ptr_is_kernel_text(nb->notifier_call))) {
WARN(1, "Invalid notifier called!");
nb = next_nb;
continue;
}
#endif
```

CFI can do the same better.

Thanks to @thestinger for the idea.

Refers to #99.

Improve the check of SCHED_STACK_END_CHECK.

SCHED_STACK_END_CHECK checks the magic value at the end
of the kernel thread stack, and VMAP_STACK adds guard pages near it.
So they do a bit different things, but VMAP_STACK is more reliable.

Thanks to @thestinger for the idea.

Refers to #98.

Fix style (III)

Use f-strings.

Fix style (II)

Fix style (I)

Disable pylint too-many-locals, it's not useful for add_kconfig_checks()

Fix pylint W0613: Unused argument 'arch'

Fix pylint E1101: Instance of 'OptCheck' has no 'type' member

Fix pylint W0613: Unused argument 'mode'

Update the NixOS configs

Don't add options without explicitly recommended values to Kconfig fragments

That's important for the '--generate' mode.

UBSAN_SANITIZE_ALL is now available for ARM

Fix the order in the vdso32 check (part II)

Fix the order in the vdso32 check

Improve the hackish refinement of the CONFIG_ARCH_MMAP_RND_BITS check

Don't check CONFIG_ARCH_MMAP_RND_BITS if CONFIG_ARCH_MMAP_RND_BITS_MAX
was not found.

Show the option type in print_unknown_options()

That improves debugging.

Use raw strings for regular expression

Fix the 'decision' for the 'AIO' check

Fix the 'decision' for the 'vdso32' check

Improve the comment for the 'slab_common.usercopy_fallback' check

Fix the arch condition for the SCHED_CORE check (III)

SCHED_CORE is finally available for ARM64 and ARM.

SCHED_SMT was needed for that.

Update the KSPP recommendations

Fix the arch for the CPU_SRSO check (it's available only for x86_64)

Split the HW_RANDOM_TPM check (it's enabled by default on ARM and ARM64)

Change the 'decision' of the INIT_STACK_ALL_ZERO check

Add defconfigs for Linux v6.6

Add the RANDOM_KMALLOC_CACHES check

Refers to #83

Add the SECURITY_SELINUX_DEBUG check

Fix the 'decision' for the LEGACY_TIOCSTI check

Add the CONFIG_LIST_HARDENED check

Add the gather_data_sampling check

Add the CPU_SRSO check

Add the SPECULATION_MITIGATIONS check

Add the spec_rstack_overflow check

Add the MODULE_FORCE_LOAD check

Thanks to @vobst for the idea

Update the README

Add the check for dis_ucode_ldr

Thanks to @izh1979 for the idea

Add the MICROCODE_INTEL and MICROCODE_AMD checks

Thanks to @izh1979 for the idea

Add a check for the 'kfence.sample_interval' boot parameter

Thanks to @izh1979 for the idea

Add the KFENCE_SAMPLE_INTERVAL check

Thanks to @izh1979 for the idea

Keep the recommendation to disable kernel modules

Disabling kernel modules is a radical method to cut the kernel attack
surface. It may be useful for some systems.

Quoting CLIP OS recommendation:
```
Disable module loading once systemd has loaded the ones required for the
running machine according to a profile.
```

Add a comment about 'kernel.modules_disabled'

add --kernel-version option (#94)

add --kernel-version option

--kernel-version option will extract the version in /proc/version.
This is especially useful on embedded systems where config.gz doesn't
always contain the kernel version

Signed-off-by: Fabrice Fontaine <fabrice.fontaine@orange.com>

Fix the reason for the 'kernel.yama.ptrace_scope' check

Add kspp-recommendations/kspp-sysctl.txt

Fix the reason for the nosmt check

Use 'cut_attack_surface'.

Update kspp-cmdline-x86-64.txt

Add the 'dev.tty.legacy_tiocsti' check

Add the 'kernel.randomize_va_space' check

Add the 'fs.suid_dumpable' check

Change the reason of the COREDUMP check

Add the 'fs.protected_regular' check

Add the 'fs.protected_fifos' check

Add the 'fs.protected_hardlinks' check

Add the 'fs.protected_symlinks' check

Add the 'vm.unprivileged_userfaultfd' check

Add the 'kernel.yama.ptrace_scope' check

Add the 'kernel.kptr_restrict' check

Improve the slab_common.usercopy_fallback check

Don't require slab_common.usercopy_fallback=0,
since HARDENED_USERCOPY_FALLBACK was removed in Linux v5.16

hardened_usercopy=1 is now officially recommended by KSPP

Enabling page_alloc.shuffle is now recommended by KSPP