block-copyfail

这是一个为OpenShift集群提供零重启内核漏洞缓解的BPF LSM安全工具，针对多个CVE编号的Linux内核特权提升漏洞（如CopyFail、Dirty Frag、Fragnesia）实施运行时防护。核心功能是通过eBPF程序在LSM钩子点拦截危险系统调用路径（如AF_ALG splice、UDP_ENCAP、TCP_ULP espintcp），无需重启节点或重启工作负载即可生效。技术特点包括DaemonSet部署、按需启用特定CVE缓解、100%节点覆盖及Red Hat产品适配。适用于生产环境中的OpenShift/Kubernetes集群安全加固，尤其适合无法接受停机维护的关键基础设施场景。