### Données de référence du scanner

Le scanner contient les références amont stables corrigées suivantes :

| Série de noyau | Référence corrigée |
|---|---:|
| 5.10 | 5.10.258 |
| 5.15 | 5.15.209 |
| 6.1 | 6.1.175 |
| 6.6 | 6.6.136 |
| 6.12 | 6.12.84 |
| 6.18 | 6.18.25 |
| 7.0 | 7.0.2 |
| Mainline | 7.1 ou plus récent |

Ces versions servent d’entrée d’évaluation. Elles ne sont pas considérées comme la seule source de vérité, car les éditeurs de distributions peuvent rétroporter la correction tout en conservant un numéro de version amont plus ancien.

---

## Modèle de sécurité

Le scanner est conçu pour éviter de déclencher l’opération vulnérable.

### Le scanner ne

- monte pas de système de fichiers FUSE ;
- ouvre ni ne communique avec `/dev/fuse` ;
- démarre pas de serveur FUSE ;
- soumet pas d’enregistrements de répertoire forgés ;
- alloue pas de mémoire pour les tests de placement de pages ;
- prépare pas les allocateurs du noyau ;
- modifie pas `/etc/passwd` ;
- modifie pas la configuration du noyau ;
- charge ni ne décharge des modules du noyau ;
- modifie pas les permissions de `/dev/fuse` ;
- installe ni ne supprime des paquets ;
- redémarre pas le système ;
- tente pas d’élévation de privilèges.

### Le scanner peut

- lire les fichiers situés sous `/proc`, `/boot`, `/lib/modules`, `/usr/lib/modules`, `/usr/src` et les répertoires de métadonnées de paquets ;
- exécuter des requêtes de paquets limitées et en lecture seule ;
- inspecter les montages actifs et l’enregistrement des systèmes de fichiers ;
- écrire un rapport uniquement lorsque `--output` est explicitement fourni ;
- afficher des commandes d’atténuation pour examen par l’administrateur.

Les commandes d’atténuation sont une sortie documentaire. Elles ne sont jamais exécutées automatiquement.

---

## Fonctionnalités

### Identification de l’hôte et du noyau

- Lit `platform.release()` et analyse la version du noyau au format amont.
- Lit `/etc/os-release` ou `/usr/lib/os-release`.
- Détecte l’architecture du processeur et la taille des pages mémoire.
- Détermine si le noyau analysé appartient au système d’exploitation actuel.

### Évaluation de l’exposition FUSE

- Lit `CONFIG_FUSE_FS` à partir des sources de configuration du noyau disponibles.
- Détecte la prise en charge intégrée de FUSE et les configurations de module chargeable.
- Lit `/proc/filesystems`.
- Vérifie les métadonnées de `/dev/fuse` et l’accès en lecture/écriture de l’utilisateur actuel.
- Localise `fusermount3` ou `fusermount`.
- Analyse les montages FUSE actifs à partir de `/proc/self/mountinfo`.

### Preuves de correctif

- Compare la version en cours d’exécution aux références corrigées amont.
- Recherche dans le source du noyau installé la protection contre les enregistrements surdimensionnés.
- Vérifie dans les journaux de modifications locaux des paquets RPM ou Debian :
  - `CVE-2026-31694` ;
  - le titre du correctif amont.

### État des paquets et du redémarrage

- Tente d’identifier le paquet propriétaire du noyau en cours d’exécution.
- Interroge les métadonnées locales du gestionnaire de paquets sans actualiser les dépôts.
- Détecte un noyau installé plus récent lorsque l’environnement hôte est autoritatif.
- Vérifie `/var/run/reboot-required` le cas échéant.

### Sensibilité à l’environnement

- Détecte les conteneurs compatibles Docker.
- Détecte les conteneurs compatibles Podman.
- Détecte les cgroups liés aux conteneurs.
- Détecte WSL.
- Détecte les machines virtuelles à l’aide de `systemd-detect-virt` lorsqu’il est disponible.

### Rapports

- Sortie texte lisible par l’humain.
- Sortie JSON lisible par machine.
- Sortie de rapport Markdown.
- Sortie atténuation uniquement.
- Sortie fichier optionnelle.
- Codes de sortie de processus explicites.

---

## Prérequis

### Requis

- Linux pour l’évaluation du noyau.
- Python 3.9 ou plus récent.
- Accès en lecture aux métadonnées système normales.

Le scanner n’utilise que la bibliothèque standard de Python.

### Commandes facultatives

Des preuves supplémentaires sont collectées lorsque les outils suivants sont présents :

| Outil | Fonction |
|---|---|
| `dpkg-query` | Découverte du paquet propriétaire du noyau et du journal des modifications pour Debian/Ubuntu |
| `rpm` | Inspection de la propriété des paquets et du journal des modifications pour Fedora/RHEL/SUSE |
| `pacman` | Paquet noyau et métadonnées de mise à jour pour la famille Arch |
| `apt` | Requête de mise à jour en cache pour la famille Debian |
| `dnf` ou `dnf5` | Requête de mise à jour en cache pour Fedora/RHEL |
| `zypper` | Requête de correctif CVE en cache pour SUSE |
| `apk` | Requête de paquet/mise à jour Alpine |
| `systemd-detect-virt` | Détection de conteneurs et de machines virtuelles |

Les privilèges root ne sont pas requis pour l’analyse normale.

Certaines preuves peuvent être indisponibles pour un compte non privilégié en raison des permissions de fichiers spécifiques au système.

---

## Installation

Placez le scanner dans un répertoire de travail :```bash
chmod +x cve_2026_31694_scanner.py

Ou invoquez-le avec Python :```bash
python3 cve_2026_31694_scanner.py

### Sortie JSON```bash
python3 cve_2026_31694_scanner.py --format json

### Rapport Markdown```bash
python3 cve_2026_31694_scanner.py --format markdown

### Afficher uniquement les conseils de remédiation```bash
python3 cve_2026_31694_scanner.py --mitigation-only

### Toujours renvoyer un succès après le signalement```bash
python3 cve_2026_31694_scanner.py --no-exit-status

Il évalue :```text
CONFIG_FUSE_FS=y
CONFIG_FUSE_FS=m
CONFIG_FUSE_FS is not set

L'absence de `/dev/fuse` ou de `fusermount3` réduit l'utilisabilité immédiate dans l'environnement actuel, mais ne prouve pas que le noyau est corrigé.

### 4. Géométrie des pages mémoire

L'enregistrement surdimensionné documenté est de `4120` octets.

Lorsque la taille de page de l'hôte est d'au moins `4120` octets, l'enregistrement documenté ne franchit pas de limite de page. Le scanner peut indiquer que le système n'est pas exposé selon la géométrie de page documentée.

Cette conclusion ne s'applique qu'à l'enregistrement documenté et au comportement d'implémentation évalué. Il ne s'agit pas d'une affirmation générale selon laquelle tous les problèmes de sécurité mémoire de FUSE sont impossibles sur les systèmes à pages plus grandes.

### 5. Inspection du code source installé

Lorsque le code source installé est disponible, le scanner recherche :```text
fs/fuse/readdir.c

Lorsqu'un paquet est identifié, les métadonnées locales du changelog peuvent être inspectées pour trouver l'identifiant CVE ou le titre du correctif.

L'absence de correspondance dans le changelog ne prouve pas une vulnérabilité. Les fournisseurs n'incluent pas toujours des références CVE individuelles dans les changelogs installés localement.

### 7. Comparaison des versions en amont

La version du noyau analysée est comparée à la table de référence fixe du scanner.

La comparaison des versions produit un résultat heuristique car :

- les noyaux des fournisseurs peuvent contenir des backports ;
- les révisions de versions des paquets de noyau sont spécifiques à chaque distribution ;
- les noyaux cloud, temps réel, durcis et d'activation matérielle peuvent avoir des calendriers de correctifs distincts ;
- une chaîne de version peut représenter une branche maintenue par le fournisseur plutôt qu'une version en amont non modifiée.

### 8. Métadonnées de mise à jour des paquets

Là où c'est pris en charge, le scanner exécute des requêtes en lecture seule sur les métadonnées locales existantes.

Il ne rafraîchit pas les dépôts.

Exemples :```text
apt list --upgradable
pacman -Qu
dnf --cacheonly --quiet check-upgrade
zypper --no-refresh list-patches --all --cve=CVE-2026-31694
apk version -l <

Lorsque `--no-exit-status` est spécifié, le scanner renvoie `0` après avoir produit le rapport.

---

## Sources de détection

Le scanner utilise les sources locales suivantes lorsqu’elles sont disponibles :

| Source | Informations |
|---|---|
| `/etc/os-release` | Identité de la distribution |
| `/usr/lib/os-release` | Identité de la distribution (repli) |
| `/proc/version` | Indicateurs du noyau et de WSL |
| `/proc/config.gz` | Configuration du noyau en cours d’exécution |
| `/boot/config-*` | Configuration du noyau |
| `/lib/modules/*/build/.config` | Configuration de compilation du noyau |
| `/proc/filesystems` | Systèmes de fichiers enregistrés |
| `/proc/self/mountinfo` | Points de montage FUSE actifs |
| `/proc/1/cgroup` | Indicateurs de conteneur |
| `/dev/fuse` | Présence et permissions du périphérique |
| `/usr/src/*/fs/fuse/readdir.c` | Preuve facultative de correctif au niveau source |
| `/lib/modules` | Inventaire des noyaux installés |
| `/usr/lib/modules` | Inventaire des noyaux installés |
| `/boot/vmlinuz-*` | Inventaire des noyaux installés |
| `/var/run/reboot-required` | Indicateur de redémarrage pour la famille Debian |
| base de données des paquets | Propriété des paquets du noyau |
| journaux des modifications des paquets | Preuve locale facultative de rétroportage |
| cache des paquets | Preuve facultative de disponibilité des mises à jour |

---

## Prise en charge des distributions

### Détection de la famille de distribution

| Famille | Distributions reconnues |
|---|---|
| Ubuntu | Ubuntu, Linux Mint, Pop!_OS, elementary OS, Zorin OS |
| Debian | Debian, Kali Linux, Raspbian, Parrot OS |
| Arch | Arch Linux, Manjaro, Garuda Linux, EndeavourOS, CachyOS |
| Fedora | Fedora Linux |
| RHEL | RHEL, CentOS, Rocky Linux, AlmaLinux, Oracle Linux, Amazon Linux |
| SUSE | openSUSE Tumbleweed, openSUSE Leap, SLES, SLED |
| Alpine | Alpine Linux |
| Gentoo | Gentoo Linux |
| Void | Void Linux |
| NixOS | NixOS |
| Inconnue | Conseils génériques pour Linux |

### Prise en charge des requêtes de mise à jour locales

| Famille | Requête de mise à jour en lecture seule |
|---|---|
| Debian/Ubuntu | `apt list --upgradable` |
| Arch | `pacman -Qu` |
| Fedora/RHEL | `dnf check-upgrade` en cache |
| SUSE | liste des correctifs CVE en cache avec `zypper` |
| Alpine | `apk version -l <` |
| Gentoo | Non implémenté |
| Void | Non implémenté |
| NixOS | Non implémenté |
| Inconnue | Non implémenté |

L’absence d’une mise à jour localement visible ne signifie pas qu’un paquet corrigé est indisponible. Les métadonnées du dépôt peuvent être obsolètes ou la distribution peut ne pas avoir encore publié de paquet.

---

## Génération des mesures d’atténuation

Les recommandations d’atténuation sont sélectionnées selon :

- la famille de distribution ;
- le gestionnaire de paquets ;
- le statut de conteneur ou WSL ;
- la configuration FUSE ;
- la disponibilité de `/dev/fuse` ;
- les points de montage FUSE actifs ;
- l’état de redémarrage ;
- le verdict final.

Le scanner affiche les commandes mais ne les exécute jamais.

### Famille Debian et Ubuntu

Séquence typique générée :```bash
sudo apt update
sudo apt full-upgrade
sudo reboot

### Famille Arch et Manjaro

Séquence typique générée :```bash
sudo pacman -Syu
sudo reboot

Les systèmes utilisant `yum` peuvent recevoir la commande `yum` correspondante.

### Famille SUSE

Séquence générée typique :```bash
sudo zypper refresh
sudo zypper patch --cve=CVE-2026-31694
sudo zypper patch --category security
sudo systemctl reboot

Le préfixe de privilège dépend du fait que le scanner trouve `sudo`, `doas` ou une session déjà root.

### Gentoo Linux

Séquence type générée :```bash
sudo emaint sync -a
sudo emerge --ask --update --deep --newuse @world

### NixOS

Séquence générée typique :```bash
sudo nixos-rebuild switch --upgrade
sudo systemctl reboot

La configuration Compose équivalente devrait également être examinée:```yaml
devices:
  - /dev/fuse:/dev/fuse

cap_add:
  - SYS_ADMIN

privileged: true

Exécutez ces commandes depuis Windows PowerShell, redémarrez la distribution, puis relancez le scanner.

La mise à jour des seuls paquets invités avec `apt`, `dnf`, ou un autre gestionnaire de paquets Linux ne remplace pas le noyau WSL.

### Machines virtuelles

Une machine virtuelle possède normalement son propre noyau invité. Les vérifications des paquets et des redémarrages spécifiques à la distribution restent applicables dans l'invité.

L'hôte hyperviseur doit être évalué séparément.

---

## Formats de rapport

### Texte

La sortie texte est destinée à une utilisation directe dans le terminal.```bash
python3 cve_2026_31694_scanner.py --format text

Exemple de sélection de champ :```bash
python3 cve_2026_31694_scanner.py --format json --no-exit-status |
  python3 -c '
import json
import sys

report = json.load(sys.stdin)
print(report["hostname"])
print(report["verdict"])
print(report["confidence"])
print(report["kernel_release"])
'

### Rapport de mitigation uniquement```bash
python3 cve_2026_31694_scanner.py \
  --mitigation-only \
  --format markdown

### Collecte de rapports sans faire échouer un job```bash
python3 cve_2026_31694_scanner.py \
  --format json \
  --output /var/tmp/cve-2026-31694.json \
  --no-exit-status

Cela écrase le même fichier de rapport. Utilisez un script wrapper lorsque des rapports historiques sont nécessaires.

### Exemple de service Systemd```ini
[Unit]
Description=Passive CVE-2026-31694 assessment
After=local-fs.target

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 /opt/security/cve_2026_31694_scanner.py --format json --output /var/log/cve-2026-31694.json --no-exit-status
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/log

Vérifiez ensuite le paquet kernel exact par rapport à l'avis du fournisseur.

### Vérification du redémarrage

L'installation d'un paquet kernel corrigé ne modifie pas le kernel en cours d'exécution.

Vérifiez à la fois les kernels installés et en cours d'exécution, puis redémarrez si nécessaire.

Exemples :```bash
uname -r
ls -1 /lib/modules

### Examen de la dépendance FUSE

Avant de décharger ou de bloquer temporairement FUSE :```bash
findmnt -t fuse,fuseblk,fusectl
lsmod | grep '^fuse'
ps aux | grep -E '[f]usermount|[s]shfs|[r]clone'

et le paquet source ou le répertoire de compilation utilisé pour ce noyau exact.

### Métadonnées de paquets obsolètes

Le scanner ne rafraîchit pas les dépôts.

Les vérifications de mise à jour des paquets dépendent de l'état du cache local existant.

Utilisez les commandes de rafraîchissement et de mise à niveau générées, spécifiques à la distribution, pour une décision de paquet à jour.

### Conteneurs

Un conteneur voit le noyau hôte mais possède normalement des métadonnées de paquets différentes.

Exécutez le scanner sur l'hôte.

### WSL

L'état des paquets de l'invité Linux ne détermine pas le statut des correctifs du noyau WSL.

Mettez à jour WSL depuis Windows.

### Noyaux personnalisés

Les noyaux personnalisés, embarqués, d'appliance, de fournisseur ou auto-compilés peuvent ne pas avoir de métadonnées de paquets ni de chaînes de version reconnaissables.

Inspectez le commit source réel ou les notes de version du fournisseur.

### Correctifs en direct

Le scanner ne détermine pas si un framework de correctifs en direct a appliqué cette correction spécifique au noyau en cours d'exécution.

Utilisez les outils de statut et les données d'avis du fournisseur de correctifs en direct.

### Secure Boot et état du chargeur d'amorçage

Le scanner ne vérifie pas :

- quel noyau le chargeur d'amorçage sélectionnera ensuite ;
- si Secure Boot accepte l'image installée ;
- si un nouvel initramfs a été généré correctement ;
- si la machine a redémarré avec succès sur le noyau attendu.

### Systèmes de fichiers distribués et espaces de noms

Le scanner évalue l'espace de noms du processus actuel.

Les montages ou l'accès aux périphériques masqués par les espaces de noms peuvent ne pas apparaître dans le rapport.

---

## Dépannage

### `Kernel configuration could not be determined`

Vérifiez si l'un de ces fichiers existe :```bash
ls -l /proc/config.gz
ls -l /boot/config-"$(uname -r)"
ls -l /lib/modules/"$(uname -r)"/build/.config

### La requête de mise à jour des paquets ne signale aucune mise à jour

Actualisez les métadonnées des paquets à l'aide du guide d'atténuation généré, puis relancez le scanner.

Le scanner passif n'actualise pas automatiquement les dépôts.

### `POTENTIALLY_VULNERABLE` après l'installation des mises à jour

Confirmez que le nouveau noyau est en cours d'exécution :```bash
uname -r

Un redémarrage peut encore être nécessaire.

Vérifiez également l'avis du fournisseur, car un backport corrigé peut ne pas correspondre à la ligne de base de la version amont.

### FUSE est intégré au noyau

Lorsque le rapport indique :```text
CONFIG_FUSE_FS=y

Ajustez le durcissement du service pour que ces chemins restent lisibles.

---

## Structure des fichiers

Disposition recommandée du projet :```text
cve-2026-31694-scanner/
├── README.md
└── cve_2026_31694_scanner.py

Exemple :```bash
sudo install -d -m 0755 /opt/security/cve-2026-31694

sudo install -m 0755 \
  cve_2026_31694_scanner.py \
  /opt/security/cve-2026-31694/

sudo install -m 0644 \
  README.md \
  /opt/security/cve-2026-31694/