### Scanner-Basisdaten

Der Scanner enthält die folgenden festgelegten stabilen Upstream-Basislinien:

| Kernel-Serie | Feste Basislinie |
|---|---:|
| 5.10 | 5.10.258 |
| 5.15 | 5.15.209 |
| 6.1 | 6.1.175 |
| 6.6 | 6.6.136 |
| 6.12 | 6.12.84 |
| 6.18 | 6.18.25 |
| 7.0 | 7.0.2 |
| Mainline | 7.1 oder neuer |

Diese Versionen werden als eine Bewertungsgrundlage verwendet. Sie werden nicht als einzige Quelle der Wahrheit behandelt, da Distributionsanbieter die Korrektur zurückportieren können, während sie eine ältere Upstream-Versionsnummer beibehalten.

---

## Sicherheitsmodell

Der Scanner wurde entwickelt, um den angreifbaren Vorgang nicht auszulösen.

### Was der Scanner nicht tut

- mountet kein FUSE-Dateisystem;
- öffnet `/dev/fuse` nicht und kommuniziert nicht damit;
- startet keinen FUSE-Server;
- übermittelt keine präparierten Verzeichnisdatensätze;
- reserviert keinen Speicher für Page-Placement-Tests;
- präpariert keine Kernel-Allokatoren;
- ändert `/etc/passwd` nicht;
- ändert die Kernelkonfiguration nicht;
- lädt oder entlädt keine Kernelmodule;
- ändert die Berechtigungen von `/dev/fuse` nicht;
- installiert oder entfernt keine Pakete;
- startet das System nicht neu;
- unternimmt keinen Privilegienerweiterungsversuch.

### Was der Scanner tun darf

- Dateien unter `/proc`, `/boot`, `/lib/modules`, `/usr/lib/modules`, `/usr/src` und Paketmetadaten-Verzeichnissen lesen;
- begrenzte, schreibgeschützte Paketabfragen ausführen;
- aktive Mounts und Dateisystemregistrierung untersuchen;
- einen Bericht nur dann schreiben, wenn `--output` explizit angegeben wird;
- Mitigationsbefehle zur Prüfung durch den Administrator ausgeben.

Mitigationsbefehle sind Dokumentationsausgabe. Sie werden niemals automatisch ausgeführt.

---

## Funktionen

### Host- und Kernel-Identifikation

- Liest `platform.release()` und parst die Kernel-Version im Upstream-Stil.
- Liest `/etc/os-release` oder `/usr/lib/os-release`.
- Erkennt CPU-Architektur und Speicherseitengröße.
- Ermittelt, ob der gescannte Kernel zum aktuellen Betriebssystem gehört.

### Bewertung der FUSE-Exposition

- Liest `CONFIG_FUSE_FS` aus verfügbaren Kernel-Konfigurationsquellen.
- Erkennt integrierte FUSE-Unterstützung und Konfigurationen für ladbare Module.
- Liest `/proc/filesystems`.
- Überprüft die Metadaten von `/dev/fuse` und den Lese-/Schreibzugriff des aktuellen Benutzers.
- Lokalisiert `fusermount3` oder `fusermount`.
- Analysiert aktive FUSE-Mounts aus `/proc/self/mountinfo`.

### Patch-Nachweise

- Vergleicht die laufende Version mit den festgelegten Upstream-Basislinien.
- Durchsucht den installierten Kernelquelltext nach dem Schutz für übergroße Datensätze.
- Überprüft lokale RPM- oder Debian-Paket-Changelogs auf:
  - `CVE-2026-31694`;
  - den Titel des Upstream-Patches.

### Paket- und Neustartstatus

- Versucht, das Paket zu ermitteln, das den laufenden Kernel besitzt.
- Fragt lokale Paketmanager-Metadaten ab, ohne Repositorien zu aktualisieren.
- Erkennt einen neueren installierten Kernel, wenn die Host-Umgebung maßgeblich ist.
- Prüft `/var/run/reboot-required`, sofern zutreffend.

### Umgebungserkennung

- Erkennt Docker-kompatible Container.
- Erkennt Podman-kompatible Container.
- Erkennt containerbezogene Cgroups.
- Erkennt WSL.
- Erkennt virtuelle Maschinen mithilfe von `systemd-detect-virt`, sofern verfügbar.

### Berichterstattung

- Für Menschen lesbare Textausgabe.
- Maschinenlesbare JSON-Ausgabe.
- Markdown-Berichtsausgabe.
- Ausgabe nur mit Mitigationsmaßnahmen.
- Optionale Dateiausgabe.
- Aussagekräftige Prozess-Exitcodes.

---

## Anforderungen

### Erforderlich

- Linux für die Kernel-Bewertung.
- Python 3.9 oder neuer.
- Lesezugriff auf normale Systemmetadaten.

Der Scanner verwendet nur die Python-Standardbibliothek.

### Optionale Befehle

Zusätzliche Nachweise werden gesammelt, wenn die folgenden Werkzeuge vorhanden sind:

| Tool | Zweck |
|---|---|
| `dpkg-query` | Ermittlung des Kernel-Paketbesitzes und Changelog-Erkennung für Debian/Ubuntu |
| `rpm` | Paketbesitz- und Changelog-Prüfung für Fedora/RHEL/SUSE |
| `pacman` | Kernelpaket- und Update-Metadaten für Arch-basierte Systeme |
| `apt` | Abfrage gecachter Updates für Debian-basierte Systeme |
| `dnf` oder `dnf5` | Abfrage gecachter Updates für Fedora/RHEL |
| `zypper` | Abfrage gecachter CVE-Patches für SUSE |
| `apk` | Paket-/Update-Abfrage für Alpine |
| `systemd-detect-virt` | Erkennung von Containern und virtuellen Maschinen |

Für den normalen Scan sind keine Root-Rechte erforderlich.

Einige Nachweise können für ein unprivilegiertes Konto aufgrund systemspezifischer Dateiberechtigungen nicht verfügbar sein.

---

## Installation

Platzieren Sie den Scanner in einem Arbeitsverzeichnis:```bash
chmod +x cve_2026_31694_scanner.py

Oder rufe es mit Python auf:```bash
python3 cve_2026_31694_scanner.py

### JSON-Ausgabe```bash
python3 cve_2026_31694_scanner.py --format json

### Markdown-Bericht```bash
python3 cve_2026_31694_scanner.py --format markdown

### Nur Behebungsanleitungen ausgeben```bash
python3 cve_2026_31694_scanner.py --mitigation-only

### Nach der Meldung immer Erfolg zurückgeben```bash
python3 cve_2026_31694_scanner.py --no-exit-status

Es bewertet:```text
CONFIG_FUSE_FS=y
CONFIG_FUSE_FS=m
CONFIG_FUSE_FS is not set

Das Fehlen von `/dev/fuse` oder `fusermount3` verringert die unmittelbare Nutzbarkeit aus der aktuellen Umgebung, beweist jedoch nicht, dass der Kernel gepatcht ist.

### 4. Seitengrößen-Geometrie

Der dokumentierte übergroße Datensatz ist `4120` Bytes.

Wenn die Host-Seitengröße mindestens `4120` Bytes beträgt, überschreitet der dokumentierte Datensatz keine Seitengrenze. Der Scanner kann melden, dass das System durch die dokumentierte Seitengeometrie nicht exponiert ist.

Diese Schlussfolgerung gilt nur für den dokumentierten Datensatz und das bewertete Implementierungsverhalten. Sie ist keine allgemeine Aussage, dass alle FUSE-Speichersicherheitsprobleme auf Systemen mit größeren Seiten unmöglich sind.

### 5. Inspektion des installierten Quellcodes

Wenn installierter Quellcode verfügbar ist, sucht der Scanner:```text
fs/fuse/readdir.c

Wenn ein Paket identifiziert wird, können lokale Changelog-Metadaten auf die CVE-ID oder den Patch-Titel hin untersucht werden.

Eine fehlende Übereinstimmung im Changelog ist kein Beweis für eine Schwachstelle. Hersteller nehmen nicht immer einzelne CVE-Referenzen in lokal installierte Changelogs auf.

### 7. Upstream-Versionsvergleich

Die geparste Kernel-Version wird mit der festen Baseline-Tabelle des Scanners verglichen.

Der Versionsvergleich liefert ein heuristisches Ergebnis, weil:

- Hersteller-Kernel können Backports enthalten;
- Release-Revisionen von Kernel-Paketen sind distributionsspezifisch;
- Cloud-, Echtzeit-, gehärtete und Hardware-Enablement-Kernel können separate Patch-Zeitpläne haben;
- eine Versionszeichenfolge kann einen herstellergepflegten Zweig darstellen und keine unveränderte Upstream-Version.

### 8. Paketupdate-Metadaten

Wo unterstützt, führt der Scanner schreibgeschützte Abfragen gegen vorhandene lokale Metadaten aus.

Er aktualisiert keine Repositories.

Beispiele:```text
apt list --upgradable
pacman -Qu
dnf --cacheonly --quiet check-upgrade
zypper --no-refresh list-patches --all --cve=CVE-2026-31694
apk version -l <

Wenn `--no-exit-status` angegeben ist, gibt der Scanner nach der Erstellung des Berichts `0` zurück.

---

## Erkennungsquellen

Der Scanner verwendet die folgenden lokalen Quellen, sofern verfügbar:

| Quelle | Information |
|---|---|
| `/etc/os-release` | Distributionsidentität |
| `/usr/lib/os-release` | Fallback für Distributionsidentität |
| `/proc/version` | Kernel- und WSL-Indikatoren |
| `/proc/config.gz` | Konfiguration des laufenden Kernels |
| `/boot/config-*` | Kernelkonfiguration |
| `/lib/modules/*/build/.config` | Kernel-Build-Konfiguration |
| `/proc/filesystems` | Registrierte Dateisysteme |
| `/proc/self/mountinfo` | Aktive FUSE-Mounts |
| `/proc/1/cgroup` | Container-Indikatoren |
| `/dev/fuse` | Geräteverfügbarkeit und -berechtigungen |
| `/usr/src/*/fs/fuse/readdir.c` | Optionale Hinweise auf Patches auf Quelltextebene |
| `/lib/modules` | Inventar installierter Kernel |
| `/usr/lib/modules` | Inventar installierter Kernel |
| `/boot/vmlinuz-*` | Inventar installierter Kernel |
| `/var/run/reboot-required` | Neustart-Indikator der Debian-Familie |
| Paketdatenbank | Eigentümerschaft von Kernelpaketen |
| Paket-Changelogs | Optionale lokale Backport-Hinweise |
| Paket-Cache | Optionale Hinweise auf Update-Verfügbarkeit |

---

## Distributionsunterstützung

### Erkennung der Distributionsfamilie

| Familie | Erkannte Distributionen |
|---|---|
| Ubuntu | Ubuntu, Linux Mint, Pop!_OS, elementary OS, Zorin OS |
| Debian | Debian, Kali Linux, Raspbian, Parrot OS |
| Arch | Arch Linux, Manjaro, Garuda Linux, EndeavourOS, CachyOS |
| Fedora | Fedora Linux |
| RHEL | RHEL, CentOS, Rocky Linux, AlmaLinux, Oracle Linux, Amazon Linux |
| SUSE | openSUSE Tumbleweed, openSUSE Leap, SLES, SLED |
| Alpine | Alpine Linux |
| Gentoo | Gentoo Linux |
| Void | Void Linux |
| NixOS | NixOS |
| Unbekannt | Allgemeine Linux-Hinweise |

### Unterstützung für lokale Update-Abfragen

| Familie | Schreibgeschützte Update-Abfrage |
|---|---|
| Debian/Ubuntu | `apt list --upgradable` |
| Arch | `pacman -Qu` |
| Fedora/RHEL | zwischengespeichertes `dnf check-upgrade` |
| SUSE | zwischengespeicherte CVE-Patchliste mit `zypper` |
| Alpine | `apk version -l <` |
| Gentoo | Nicht implementiert |
| Void | Nicht implementiert |
| NixOS | Nicht implementiert |
| Unbekannt | Nicht implementiert |

Das Fehlen eines lokal sichtbaren Updates bedeutet nicht, dass ein korrigiertes Paket nicht verfügbar ist. Die Repository-Metadaten können veraltet sein oder die Distribution hat möglicherweise noch kein Paket veröffentlicht.

---

## Generierung von Gegenmaßnahmen

Die Empfehlungen für Gegenmaßnahmen werden ausgewählt anhand von:

- Distributionsfamilie;
- Paketmanager;
- Container- oder WSL-Status;
- FUSE-Konfiguration;
- Verfügbarkeit von `/dev/fuse`;
- aktive FUSE-Mounts;
- Neustartstatus;
- endgültigem Urteil.

Der Scanner gibt Befehle aus, führt sie jedoch niemals aus.

### Debian- und Ubuntu-Familie

Typische generierte Abfolge:```bash
sudo apt update
sudo apt full-upgrade
sudo reboot

### Arch and Manjaro Familie

Typische generierte Sequenz:```bash
sudo pacman -Syu
sudo reboot

Systems using `yum` may receive the corresponding `yum` command.

### SUSE-Familie

Typische generierte Sequenz:```bash
sudo zypper refresh
sudo zypper patch --cve=CVE-2026-31694
sudo zypper patch --category security
sudo systemctl reboot

Das Berechtigungs-Präfix hängt davon ab, ob der Scanner `sudo`, `doas` oder eine bereits laufende Root-Sitzung findet.

### Gentoo Linux

Typische generierte Sequenz:```bash
sudo emaint sync -a
sudo emerge --ask --update --deep --newuse @world

### NixOS

Typische generierte Sequenz:```bash
sudo nixos-rebuild switch --upgrade
sudo systemctl reboot

Die entsprechende Compose-Konfiguration sollte ebenfalls überprüft werden:```yaml
devices:
  - /dev/fuse:/dev/fuse

cap_add:
  - SYS_ADMIN

privileged: true

Führen Sie diese Befehle in Windows PowerShell aus, starten Sie die Distribution neu und führen Sie den Scanner erneut aus.

Das ausschließliche Aktualisieren von Gast-Paketen mit `apt`, `dnf` oder einem anderen Linux-Paketmanager ersetzt nicht den WSL-Kernel.

### Virtuelle Maschinen

Eine virtuelle Maschine besitzt normalerweise ihren eigenen Gast-Kernel. Verteiler- bzw. distributionsspezifische Paket- und Neustart-Prüfungen bleiben innerhalb des Gastes anwendbar.

Der Hypervisor-Host sollte separat bewertet werden.

---

## Berichtsformate

### Text

Die Textausgabe ist für die direkte Verwendung im Terminal gedacht.```bash
python3 cve_2026_31694_scanner.py --format text

Beispielfeldauswahl:```bash
python3 cve_2026_31694_scanner.py --format json --no-exit-status |
  python3 -c '
import json
import sys

report = json.load(sys.stdin)
print(report["hostname"])
print(report["verdict"])
print(report["confidence"])
print(report["kernel_release"])
'

### Nur-Gegenmaßnahmen-Bericht```bash
python3 cve_2026_31694_scanner.py \
  --mitigation-only \
  --format markdown

### Berichtserfassung, ohne dass ein Job fehlschlägt```bash
python3 cve_2026_31694_scanner.py \
  --format json \
  --output /var/tmp/cve-2026-31694.json \
  --no-exit-status

Dies überschreibt dieselbe Berichtsdatei. Verwenden Sie ein Wrapper-Skript, wenn historische Berichte benötigt werden.

### Beispiel für einen Systemd-Dienst```ini
[Unit]
Description=Passive CVE-2026-31694 assessment
After=local-fs.target

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 /opt/security/cve_2026_31694_scanner.py --format json --output /var/log/cve-2026-31694.json --no-exit-status
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/log

Überprüfen Sie dann das exakte Kernel-Paket anhand des Sicherheitshinweises des Herstellers.

### Neustart-Überprüfung

Die Installation eines korrigierten Kernel-Pakets ändert nicht den aktuell ausgeführten Kernel.

Überprüfen Sie sowohl den installierten als auch den laufenden Kernel und starten Sie dann bei Bedarf neu.

Beispiele:```bash
uname -r
ls -1 /lib/modules

### FUSE-Abhängigkeitsprüfung

Bevor Sie FUSE vorübergehend entladen oder blockieren:```bash
findmnt -t fuse,fuseblk,fusectl
lsmod | grep '^fuse'
ps aux | grep -E '[f]usermount|[s]shfs|[r]clone'

and the source package or build directory used for that exact kernel.

### Stale package metadata

The scanner does not refresh repositories.

Package update checks depend on existing local cache state.

Use the generated distribution-specific refresh and upgrade commands for an up-to-date package decision.

### Containers

A container sees the host kernel but normally has different package metadata.

Run the scanner on the host.

### WSL

Linux guest package state does not determine WSL kernel patch status.

Update WSL from Windows.

### Custom kernels

Custom, embedded, appliance, vendor, and self-built kernels may not have package metadata or recognizable version strings.

Inspect the actual source commit or vendor release notes.

### Live patching

The scanner does not determine whether a live-patch framework has applied this specific correction to the running kernel.

Use the live-patch vendor's status tools and advisory data.

### Secure boot and bootloader state

The scanner does not verify:

- which kernel the bootloader will select next;
- whether Secure Boot accepts the installed image;
- whether a new initramfs was generated correctly;
- whether the machine successfully rebooted into the expected kernel.

### Distributed filesystems and namespaces

The scanner assesses the current process namespace.

Mounts or device access hidden by namespaces may not appear in the report.

---

## Troubleshooting

### `Kernel configuration could not be determined`

Check whether one of these files exists:```bash
ls -l /proc/config.gz
ls -l /boot/config-"$(uname -r)"
ls -l /lib/modules/"$(uname -r)"/build/.config

### Paketupdate-Abfrage meldet kein Update

Aktualisieren Sie die Paketmetadaten mithilfe des generierten Mitigationsleitfadens und führen Sie den Scanner erneut aus.

Der passive Scanner aktualisiert Repositorys nicht automatisch.

### `POTENTIALLY_VULNERABLE` nach der Installation von Updates

Bestätigen Sie, dass der neue Kernel läuft:```bash
uname -r

Ein Neustart kann weiterhin erforderlich sein.

Überprüfen Sie außerdem das Hersteller-Bulletin, da ein bereitgestellter Backport möglicherweise nicht mit der Upstream-Versionsbasis übereinstimmt.

### FUSE ist in den Kernel integriert

Wenn der Bericht Folgendes anzeigt:```text
CONFIG_FUSE_FS=y

Passen Sie die Service-Härtung an, damit diese Pfade lesbar bleiben.

---

## Dateilayout

Empfohlenes Projektlayout:```text
cve-2026-31694-scanner/
├── README.md
└── cve_2026_31694_scanner.py

Beispiel:```bash
sudo install -d -m 0755 /opt/security/cve-2026-31694

sudo install -m 0755 \
  cve_2026_31694_scanner.py \
  /opt/security/cve-2026-31694/

sudo install -m 0644 \
  README.md \
  /opt/security/cve-2026-31694/