### بيانات خط الأساس للماسح الضوئي

يحتوي الماسح الضوئي على خطوط الأساس المستقرة الثابتة التالية من المنبع:

| سلسلة النواة | خط الأساس المثبّت |
|---|---:|
| 5.10 | 5.10.258 |
| 5.15 | 5.15.209 |
| 6.1 | 6.1.175 |
| 6.6 | 6.6.136 |
| 6.12 | 6.12.84 |
| 6.18 | 6.18.25 |
| 7.0 | 7.0.2 |
| Mainline | 7.1 أو أحدث |

تُستخدم هذه الإصدارات كمدخل تقييم واحد. ولا تُعتبر المصدر الوحيد للحقيقة لأن موزّعي التوزيعات قد ينقلون التصحيح مع الإبقاء على رقم إصدار أقدم من المنبع.

---

## نموذج الأمان

صُمم الماسح الضوئي لتجنب استدعاء العملية المعرضة للخطر.

### لا يقوم الماسح الضوئي بـ:

- تثبيت نظام ملفات FUSE؛
- فتح أو التواصل مع `/dev/fuse`؛
- تشغيل خادم FUSE؛
- إرسال سجلات أدلة مصمّمة؛
- تخصيص ذاكرة لاختبار توزيع الصفحات؛
- تهيئة مخصِّصات النواة؛
- تعديل `/etc/passwd`؛
- تغيير إعدادات النواة؛
- تحميل أو إلغاء تحميل وحدات النواة؛
- تعديل صلاحيات `/dev/fuse`؛
- تثبيت الحزم أو إزالتها؛
- إعادة تشغيل النظام؛
- محاولة تصعيد الامتيازات.

### قد يقوم الماسح الضوئي بـ:

- قراءة الملفات تحت `/proc` و`/boot` و`/lib/modules` و`/usr/lib/modules` و`/usr/src` وأدلة بيانات الحزم الوصفية؛
- تنفيذ استعلامات حزم محدودة للقراءة فقط؛
- فحص عمليات التثبيت النشطة وتسجيل أنظمة الملفات؛
- كتابة تقرير فقط عند توفير `--output` صراحةً؛
- طباعة أوامر التخفيف لمراجعة المسؤول.

أوامر التخفيف هي مخرجات توثيقية. ولا يتم تنفيذها أبدًا تلقائيًا.

---

## الميزات

### تحديد المضيف والنواة

- يقرأ `platform.release()` ويحلل إصدار النواة بنمط المنبع.
- يقرأ `/etc/os-release` أو `/usr/lib/os-release`.
- يكتشف بنية وحدة المعالجة المركزية وحجم صفحة الذاكرة.
- يحدد ما إذا كانت النواة المفحوصة تابعة لنظام التشغيل الحالي.

### تقييم التعرض لـ FUSE

- يقرأ `CONFIG_FUSE_FS` من مصادر إعدادات النواة المتاحة.
- يكتشف دعم FUSE المدمج وإعدادات الوحدات القابلة للتحميل.
- يقرأ `/proc/filesystems`.
- يتحقق من بيانات `/dev/fuse` الوصفية وصلاحية القراءة/الكتابة للمستخدم الحالي.
- يحدد موقع `fusermount3` أو `fusermount`.
- يحلل عمليات تثبيت FUSE النشطة من `/proc/self/mountinfo`.

### أدلة التصحيح

- يقارن الإصدار الجاري مع خطوط الأساس المثبتة من المنبع.
- يبحث في شيفرة النواة المثبتة عن حارس السجل المفرط الحجم.
- يفحص سجلات التغييرات المحلية لحزم RPM أو Debian بحثًا عن:
  - `CVE-2026-31694`;
  - عنوان التصحيح من المنبع.

### حالة الحزمة وإعادة التشغيل

- يحاول تحديد الحزمة المالكة للنواة الجارية.
- يستعلم عن بيانات مدير الحزم المحلية دون تحديث المستودعات.
- يكتشف نواة مثبتة أحدث عندما تكون بيئة المضيف موثوقة.
- يتحقق من `/var/run/reboot-required` حيثما ينطبق ذلك.

### الوعي بالبيئة

- يكتشف الحاويات المتوافقة مع Docker.
- يكتشف الحاويات المتوافقة مع Podman.
- يكتشف مجموعات cgroups المتعلقة بالحاويات.
- يكتشف WSL.
- يكتشف الأجهزة الافتراضية باستخدام `systemd-detect-virt` عند توفره.

### إعداد التقارير

- مخرجات نصية قابلة للقراءة البشرية.
- مخرجات JSON قابلة للقراءة آليًا.
- مخرجات تقرير Markdown.
- مخرجات التخفيف فقط.
- إخراج ملف اختياري.
- رموز خروج ذات معنى للعملية.

---

## المتطلبات

### مطلوب

- لينكس لتقييم النواة.
- بايثون 3.9 أو أحدث.
- وصول للقراءة إلى بيانات النظام الوصفية العادية.

يستخدم الماسح الضوئي مكتبة بايثون القياسية فقط.

### أوامر اختيارية

يتم جمع أدلة إضافية عند توفر الأدوات التالية:

| الأداة | الغرض |
|---|---|
| `dpkg-query` | اكتشاف ملكية حزمة النواة وسجل التغييرات في Debian/Ubuntu |
| `rpm` | فحص ملكية الحزم وسجل التغييرات في Fedora/RHEL/SUSE |
| `pacman` | بيانات حزمة النواة والتحديثات لعائلة Arch |
| `apt` | استعلام التحديثات المخزنة لعائلة Debian |
| `dnf` أو `dnf5` | استعلام التحديثات المخزنة في Fedora/RHEL |
| `zypper` | استعلام تصحيحات CVE المخزنة في SUSE |
| `apk` | استعلام حزم/تحديثات Alpine |
| `systemd-detect-virt` | اكتشاف الحاويات والأجهزة الافتراضية |

ليست هناك حاجة لامتيازات الجذر لإجراء الفحص العادي.

قد تكون بعض الأدلة غير متاحة لحساب غير مميز بسبب صلاحيات الملفات الخاصة بالنظام.

---

## التثبيت

ضع الماسح الضوئي في دليل عمل:```bash
chmod +x cve_2026_31694_scanner.py

أو استدعِه باستخدام Python:```bash
python3 cve_2026_31694_scanner.py

### مخرجات JSON```bash
python3 cve_2026_31694_scanner.py --format json

### تقرير Markdown```bash
python3 cve_2026_31694_scanner.py --format markdown

### طباعة إرشادات المعالجة فقط```bash
python3 cve_2026_31694_scanner.py --mitigation-only

### أعد النجاح دائمًا بعد الإبلاغ```bash
python3 cve_2026_31694_scanner.py --no-exit-status

يقوم بتقييم:```text
CONFIG_FUSE_FS=y
CONFIG_FUSE_FS=m
CONFIG_FUSE_FS is not set

غياب `/dev/fuse` أو `fusermount3` يقلل من قابلية الاستخدام الفورية من البيئة الحالية، لكنه لا يُثبت أن النواة مُصحَّحة.

### 4. هندسة حجم الصفحة

السجل المفرط الحجم الموثّق هو `4120` بايت.

عندما يكون حجم صفحة المضيف على الأقل `4120` بايت، فإن السجل الموثّق لا يعبر حدود الصفحة. قد يبلغ الماسح أن النظام غير معرّض لهندسة الصفحة الموثّقة.

ينطبق هذا الاستنتاج فقط على السجل الموثّق وسلوك التنفيذ الذي تم تقييمه. وهو ليس بيانًا عامًا بأن جميع مشكلات سلامة الذاكرة في FUSE مستحيلة على الأنظمة ذات الصفحات الأكبر.

### 5. فحص المصدر المثبَّت

عندما يتوفر المصدر المثبَّت، يبحث الماسح عن:```text
fs/fuse/readdir.c

عندما يتم تحديد حزمة، يمكن فحص بيانات سجل التغييرات المحلي بحثًا عن معرف CVE أو عنوان التصحيح.

عدم وجود تطابق في سجل التغييرات ليس دليلاً على وجود ثغرة. لا يدرج المورّدون دائمًا مراجع CVE فردية في سجلات التغييرات المثبتة محليًا.

### 7. مقارنة إصدار المنبع

تتم مقارنة إصدار النواة المُحلَّل مع جدول خط الأساس الثابت للماسح الضوئي.

يُنتج مقارنة الإصدارات نتيجة استدلالية للأسباب التالية:

- نوى المورّدين قد تحتوي على backports؛
- مراجعات إصدار حزم النواة خاصة بالتوزيعة؛
- نوى السحابة، والوقت الفعلي، والمحصّنة، وتمكين الأجهزة قد يكون لها جداول زمنية منفصلة للتصحيحات؛
- يمكن أن تمثل سلسلة الإصدار فرعًا يحتفظ به المورّد بدلاً من إصدار منبع غير معدل.

### 8. بيانات تعريف تحديث الحزم

حيثما يكون مدعومًا، يقوم الماسح الضوئي بتنفيذ استعلامات للقراءة فقط مقابل البيانات الوصفية المحلية الموجودة.

لا يقوم بتحديث المستودعات.

أمثلة:```text
apt list --upgradable
pacman -Qu
dnf --cacheonly --quiet check-upgrade
zypper --no-refresh list-patches --all --cve=CVE-2026-31694
apk version -l <

عند تحديد `--no-exit-status`، يُرجع الماسح الضوئي `0` بعد إنشاء التقرير.

---

## مصادر الكشف

يستخدم الماسح الضوئي المصادر المحلية التالية عند توفرها:

| المصدر | المعلومات |
|---|---|
| `/etc/os-release` | هوية التوزيعة |
| `/usr/lib/os-release` | هوية التوزيعة الاحتياطية |
| `/proc/version` | مؤشرات النواة وWSL |
| `/proc/config.gz` | إعدادات النواة قيد التشغيل |
| `/boot/config-*` | إعدادات النواة |
| `/lib/modules/*/build/.config` | إعدادات بناء النواة |
| `/proc/filesystems` | أنظمة الملفات المسجلة |
| `/proc/self/mountinfo` | وحدات تحميل FUSE النشطة |
| `/proc/1/cgroup` | مؤشرات الحاويات |
| `/dev/fuse` | وجود الجهاز وأذوناته |
| `/usr/src/*/fs/fuse/readdir.c` | دليل تصحيح اختياري على مستوى المصدر |
| `/lib/modules` | جرد النواة المثبتة |
| `/usr/lib/modules` | جرد النواة المثبتة |
| `/boot/vmlinuz-*` | جرد النواة المثبتة |
| `/var/run/reboot-required` | مؤشر إعادة التشغيل لعائلة دبيان |
| قاعدة بيانات الحزم | ملكية حزم النواة |
| سجلات تغييرات الحزم | دليل اختياري للترقية الخلفية المحلية |
| ذاكرة تخزين الحزم المؤقتة | دليل اختياري لتوفر التحديث |

---

## دعم التوزيعات

### كشف عائلة التوزيعة

| العائلة | التوزيعات المعترف بها |
|---|---|
| Ubuntu | Ubuntu, Linux Mint, Pop!_OS, elementary OS, Zorin OS |
| Debian | Debian, Kali Linux, Raspbian, Parrot OS |
| Arch | Arch Linux, Manjaro, Garuda Linux, EndeavourOS, CachyOS |
| Fedora | Fedora Linux |
| RHEL | RHEL, CentOS, Rocky Linux, AlmaLinux, Oracle Linux, Amazon Linux |
| SUSE | openSUSE Tumbleweed, openSUSE Leap, SLES, SLED |
| Alpine | Alpine Linux |
| Gentoo | Gentoo Linux |
| Void | Void Linux |
| NixOS | NixOS |
| غير معروف | إرشادات لينكس عامة |

### دعم الاستعلام عن التحديث المحلي

| العائلة | استعلام التحديث للقراءة فقط |
|---|---|
| Debian/Ubuntu | `apt list --upgradable` |
| Arch | `pacman -Qu` |
| Fedora/RHEL | `dnf check-upgrade` مخزّن مؤقتًا |
| SUSE | قائمة تصحيحات CVE المخزنة مؤقتًا باستخدام `zypper` |
| Alpine | `apk version -l <` |
| Gentoo | غير منفّذ |
| Void | غير منفّذ |
| NixOS | غير منفّذ |
| غير معروف | غير منفّذ |

عدم وجود تحديث مرئي محليًا لا يعني عدم توفر حزمة مصححة. قد تكون بيانات المستودع قديمة أو قد لا تكون التوزيعة قد نشرت حزمة بعد.

---

## توليد التخفيف

يتم تحديد إرشادات التخفيف وفقًا لما يلي:

- عائلة التوزيعة؛
- مدير الحزم؛
- حالة الحاوية أو WSL؛
- إعداد FUSE؛
- توفر `/dev/fuse`؛
- وحدات تحميل FUSE النشطة؛
- حالة إعادة التشغيل؛
- الحكم النهائي.

يقوم الماسح بطباعة الأوامر ولكنه لا ينفذها أبدًا.

### عائلة دبيان وأوبونتو

التسلسل النموذجي المُنشأ:```bash
sudo apt update
sudo apt full-upgrade
sudo reboot

### عائلة Arch و Manjaro

التسلسل الناتج النموذجي:```bash
sudo pacman -Syu
sudo reboot

الأنظمة التي تستخدم `yum` قد تتلقى الأمر `yum` المقابل.

### عائلة SUSE

التسلسل النموذجي المُولَّد:```bash
sudo zypper refresh
sudo zypper patch --cve=CVE-2026-31694
sudo zypper patch --category security
sudo systemctl reboot

تعتمد بادئة الامتياز على ما إذا كان الماسح الضوئي يجد `sudo` أو `doas` أو جلسة تعمل بصلاحيات الجذر بالفعل.

### Gentoo Linux

التسلسل النموذجي المُنشأ:```bash
sudo emaint sync -a
sudo emerge --ask --update --deep --newuse @world

### NixOS

التسلسل الناتج النموذجي:```bash
sudo nixos-rebuild switch --upgrade
sudo systemctl reboot

يجب أيضًا مراجعة تكوين Compose المكافئ:```yaml
devices:
  - /dev/fuse:/dev/fuse

cap_add:
  - SYS_ADMIN

privileged: true

شغّل هذه الأوامر من Windows PowerShell، وأعد تشغيل التوزيعة، ثم أعد تشغيل الماسح الضوئي.

تحديث حزم الضيف فقط باستخدام `apt` أو `dnf` أو أي مدير حزم Linux آخر لا يستبدل نواة WSL.

### الأجهزة الافتراضية

عادةً ما تمتلك الآلة الافتراضية نواة الضيف الخاصة بها. تبقى فحوصات الحزم وإعادة التشغيل الخاصة بتوزيعة معينة سارية المفعول داخل الضيف.

يجب تقييم مضيف المُشغِّل الافتراضي بشكل منفصل.

---

## تنسيقات التقارير

### نص

مخرجات النص مخصّصة للاستخدام المباشر في الطرفية.```bash
python3 cve_2026_31694_scanner.py --format text

مثال على تحديد الحقل:```bash
python3 cve_2026_31694_scanner.py --format json --no-exit-status |
  python3 -c '
import json
import sys

report = json.load(sys.stdin)
print(report["hostname"])
print(report["verdict"])
print(report["confidence"])
print(report["kernel_release"])
'

### تقرير التخفيف فقط```bash
python3 cve_2026_31694_scanner.py \
  --mitigation-only \
  --format markdown

### جمع التقارير دون فشل المهمة```bash
python3 cve_2026_31694_scanner.py \
  --format json \
  --output /var/tmp/cve-2026-31694.json \
  --no-exit-status

هذا يستبدل نفس ملف التقرير. استخدم سكربت غلاف عندما تكون التقارير التاريخية مطلوبة.

### مثال خدمة Systemd```ini
[Unit]
Description=Passive CVE-2026-31694 assessment
After=local-fs.target

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 /opt/security/cve_2026_31694_scanner.py --format json --output /var/log/cve-2026-31694.json --no-exit-status
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/log

ثم تحقق من حزمة النواة الدقيقة وفقًا لإشعار البائع.

### التحقق من إعادة التشغيل

تثبيت حزمة نواة مُصححة لا يغيّر النواة قيد التشغيل حاليًا.

تحقق من كلٍّ من النواة المثبتة والنواة قيد التشغيل، ثم أعد التشغيل حسب الحاجة.

أمثلة:```bash
uname -r
ls -1 /lib/modules

### مراجعة اعتماديات FUSE

قبل إلغاء تحميل FUSE أو حظره مؤقتًا:```bash
findmnt -t fuse,fuseblk,fusectl
lsmod | grep '^fuse'
ps aux | grep -E '[f]usermount|[s]shfs|[r]clone'

ومصدر الحزمة أو دليل البناء المستخدم لتلك النواة بالضبط.

### بيانات وصفية قديمة للحزم

لا يقوم الماسح بتحديث المستودعات.

تعتمد فحوصات تحديث الحزم على حالة الذاكرة المؤقتة المحلية الموجودة.

استخدم أوامر التحديث والترقية المولّدة الخاصة بالتوزيعة لاتخاذ قرار حديث بشأن الحزم.

### الحاويات

ترى الحاوية نواة المضيف ولكن عادةً ما يكون لديها بيانات وصفية مختلفة للحزم.

شغّل الماسح على المضيف.

### WSL

لا تحدد حالة حزم الضيف لنظام لينكس حالة تصحيح نواة WSL.

حدّث WSL من ويندوز.

### النوى المخصصة

قد لا تحتوي النوى المخصصة، والمدمجة، ونوى الأجهزة، ونوى المورّدين، والنوى المبنية ذاتيًا على بيانات وصفية للحزم أو سلاسل إصدار يمكن التعرف عليها.

افحص الالتزام (commit) الفعلي للمصدر أو ملاحظات إصدار المورّد.

### الترقيع المباشر

لا يحدد الماسح ما إذا كان إطار عمل الترقيع المباشر قد طبق هذا التصحيح المحدد على النواة قيد التشغيل.

استخدم أدوات الحالة وبيانات النشرات الاستشارية من مورّد الترقيع المباشر.

### حالة الإقلاع الآمن ومحمّل الإقلاع

لا يتحقق الماسح من:

- أي نواة سيختارها محمّل الإقلاع تاليًا؛
- ما إذا كان الإقلاع الآمن يقبل الصورة المثبتة؛
- ما إذا كانت initramfs جديدة قد أُنشئت بشكل صحيح؛
- ما إذا كان الجهاز قد أُعيد تشغيله بنجاح إلى النواة المتوقعة.

### أنظمة الملفات الموزعة ومساحات الأسماء

يقيّم الماسح مساحة اسم العملية الحالية.

قد لا تظهر عمليات التركيب أو الوصول إلى الأجهزة المخفية بواسطة مساحات الأسماء في التقرير.

---

## استكشاف الأخطاء وإصلاحها

### `Kernel configuration could not be determined`

تحقق مما إذا كان أحد هذه الملفات موجودًا:```bash
ls -l /proc/config.gz
ls -l /boot/config-"$(uname -r)"
ls -l /lib/modules/"$(uname -r)"/build/.config

### استعلام تحديث الحزمة لا يُظهر أي تحديث

قم بتحديث بيانات الحزم الوصفية باستخدام دليل التخفيف المُنشأ، ثم أعد تشغيل الماسح الضوئي.

لا يقوم الماسح الضوئي السلبي بتحديث المستودعات تلقائيًا.

### `POTENTIALLY_VULNERABLE` بعد تثبيت التحديثات

تأكد من أن النواة الجديدة قيد التشغيل:```bash
uname -r

قد لا يزال إعادة التشغيل مطلوبًا.

تحقق أيضًا من نشرة البائع لأن backport المُصلَح قد لا يتطابق مع خط الأساس لإصدار upstream.

### FUSE مدمج في النواة

عندما يعرض التقرير:```text
CONFIG_FUSE_FS=y

اضبط تقوية الخدمة بحيث تظل هذه المسارات قابلة للقراءة.

---

## تخطيط الملفات

تخطيط المشروع الموصى به:```text
cve-2026-31694-scanner/
├── README.md
└── cve_2026_31694_scanner.py

مثال:```bash
sudo install -d -m 0755 /opt/security/cve-2026-31694

sudo install -m 0755 \
  cve_2026_31694_scanner.py \
  /opt/security/cve-2026-31694/

sudo install -m 0644 \
  README.md \
  /opt/security/cve-2026-31694/