### स्कैनर बेसलाइन डेटा

स्कैनर में निम्नलिखित अपस्ट्रीम स्थिर फिक्स्ड बेसलाइन शामिल हैं:

| कर्नेल श्रृंखला | फिक्स्ड बेसलाइन |
|---|---:|
| 5.10 | 5.10.258 |
| 5.15 | 5.15.209 |
| 6.1 | 6.1.175 |
| 6.6 | 6.6.136 |
| 6.12 | 6.12.84 |
| 6.18 | 6.18.25 |
| 7.0 | 7.0.2 |
| Mainline | 7.1 या नया |

ये संस्करण एक मूल्यांकन इनपुट के रूप में उपयोग किए जाते हैं। इन्हें एकमात्र स्रोत नहीं माना जाता है, क्योंकि डिस्ट्रीब्यूशन विक्रेता पुराने अपस्ट्रीम संस्करण संख्या को बनाए रखते हुए सुधार को बैकपोर्ट कर सकते हैं।

---

## सुरक्षा मॉडल

स्कैनर को असुरक्षित ऑपरेशन को आमंत्रित करने से बचने के लिए डिज़ाइन किया गया है।

### स्कैनर निम्नलिखित नहीं करता

- FUSE फ़ाइलसिस्टम माउंट नहीं करता;
- `/dev/fuse` को खोलता या उससे संवाद नहीं करता;
- FUSE सर्वर शुरू नहीं करता;
- निर्मित (crafted) डायरेक्ट्री रिकॉर्ड सबमिट नहीं करता;
- पेज-प्लेसमेंट परीक्षण के लिए मेमोरी आवंटित नहीं करता;
- कर्नेल आवंटकों को groom नहीं करता;
- `/etc/passwd` को संशोधित नहीं करता;
- कर्नेल कॉन्फ़िगरेशन नहीं बदलता;
- कर्नेल मॉड्यूल लोड या अनलोड नहीं करता;
- `/dev/fuse` अनुमतियाँ संशोधित नहीं करता;
- पैकेज स्थापित या हटाता नहीं;
- सिस्टम रिबूट नहीं करता;
- विशेषाधिकार वृद्धि का प्रयास नहीं करता।

### स्कैनर निम्नलिखित कर सकता है

- `/proc`, `/boot`, `/lib/modules`, `/usr/lib/modules`, `/usr/src`, और पैकेज मेटाडेटा निर्देशिकाओं के अंतर्गत फ़ाइलें पढ़ सकता है;
- सीमित, केवल-पठन पैकेज क्वेरी निष्पादित कर सकता है;
- सक्रिय माउंट और फ़ाइलसिस्टम पंजीकरण का निरीक्षण कर सकता है;
- केवल तब रिपोर्ट लिख सकता है जब `--output` स्पष्ट रूप से प्रदान किया गया हो;
- प्रशासक समीक्षा के लिए मिटिगेशन कमांड प्रिंट कर सकता है।

मिटिगेशन कमांड दस्तावेज़ीकरण आउटपुट हैं। उन्हें कभी भी स्वचालित रूप से निष्पादित नहीं किया जाता।

---

## विशेषताएँ

### होस्ट और कर्नेल पहचान

- `platform.release()` पढ़ता है और अपस्ट्रीम-शैली कर्नेल संस्करण को पार्स करता है।
- `/etc/os-release` या `/usr/lib/os-release` पढ़ता है।
- CPU आर्किटेक्चर और मेमोरी पेज आकार का पता लगाता है।
- पहचानता है कि स्कैन किया गया कर्नेल वर्तमान ऑपरेटिंग सिस्टम से संबंधित है या नहीं।

### FUSE एक्सपोज़र आकलन

- उपलब्ध कर्नेल कॉन्फ़िगरेशन स्रोतों से `CONFIG_FUSE_FS` पढ़ता है।
- अंतर्निहित FUSE समर्थन और लोडेबल-मॉड्यूल कॉन्फ़िगरेशन का पता लगाता है।
- `/proc/filesystems` पढ़ता है।
- `/dev/fuse` मेटाडेटा और वर्तमान-उपयोगकर्ता पढ़ने/लिखने की पहुँच की जाँच करता है।
- `fusermount3` या `fusermount` का पता लगाता है।
- `/proc/self/mountinfo` से सक्रिय FUSE माउंट को पार्स करता है।

### पैच साक्ष्य

- चल रहे संस्करण की तुलना अपस्ट्रीम फिक्स्ड बेसलाइन से करता है।
- स्थापित कर्नेल स्रोत में ओवरसाइज़्ड-रिकॉर्ड गार्ड खोजता है।
- स्थानीय RPM या Debian पैकेज चेंजलॉग में निम्न की जाँच करता है:
  - `CVE-2026-31694`;
  - अपस्ट्रीम पैच शीर्षक।

### पैकेज और रिबूट स्थिति

- चल रहे कर्नेल के स्वामित्व वाले पैकेज की पहचान करने का प्रयास करता है।
- रिपॉजिटरी को रीफ़्रेश किए बिना स्थानीय पैकेज-मैनेजर मेटाडेटा क्वेरी करता है।
- जब होस्ट वातावरण आधिकारिक होता है तो नया स्थापित कर्नेल का पता लगाता है।
- जहाँ लागू हो वहाँ `/var/run/reboot-required` की जाँच करता है।

### पर्यावरण जागरूकता

- Docker-संगत कंटेनरों का पता लगाता है।
- Podman-संगत कंटेनरों का पता लगाता है।
- कंटेनर-संबंधित cgroups का पता लगाता है।
- WSL का पता लगाता है।
- उपलब्ध होने पर `systemd-detect-virt` का उपयोग करके वर्चुअल मशीनों का पता लगाता है।

### रिपोर्टिंग

- मानव-पठनीय टेक्स्ट आउटपुट।
- मशीन-पठनीय JSON आउटपुट।
- Markdown रिपोर्ट आउटपुट।
- केवल-मिटिगेशन आउटपुट।
- वैकल्पिक फ़ाइल आउटपुट।
- सार्थक प्रक्रिया निकास कोड।

---

## आवश्यकताएँ

### अनिवार्य

- कर्नेल मूल्यांकन के लिए Linux।
- Python 3.9 या नया।
- सामान्य सिस्टम मेटाडेटा तक पढ़ने की पहुँच।

स्कैनर केवल Python मानक लाइब्रेरी का उपयोग करता है।

### वैकल्पिक कमांड

निम्नलिखित उपकरण उपलब्ध होने पर अतिरिक्त साक्ष्य एकत्र किए जाते हैं:

| उपकरण | उद्देश्य |
|---|---|
| `dpkg-query` | Debian/Ubuntu कर्नेल पैकेज स्वामित्व और चेंजलॉग खोज |
| `rpm` | Fedora/RHEL/SUSE पैकेज स्वामित्व और चेंजलॉग निरीक्षण |
| `pacman` | Arch-परिवार कर्नेल पैकेज और अपडेट मेटाडेटा |
| `apt` | Debian-परिवार कैश्ड अपडेट क्वेरी |
| `dnf` या `dnf5` | Fedora/RHEL कैश्ड अपडेट क्वेरी |
| `zypper` | SUSE कैश्ड CVE पैच क्वेरी |
| `apk` | Alpine पैकेज/अपडेट क्वेरी |
| `systemd-detect-virt` | कंटेनर और वर्चुअल-मशीन पहचान |

सामान्य स्कैन के लिए रूट विशेषाधिकार आवश्यक नहीं हैं।

सिस्टम-विशिष्ट फ़ाइल अनुमतियों के कारण कुछ साक्ष्य एक गैर-विशेषाधिकार प्राप्त खाते के लिए अनुपलब्ध हो सकते हैं।

---

## स्थापना

स्कैनर को एक कार्यशील निर्देशिका में रखें:```bash
chmod +x cve_2026_31694_scanner.py

या इसे Python के साथ चलाएँ:```bash
python3 cve_2026_31694_scanner.py

### JSON आउटपुट```bash
python3 cve_2026_31694_scanner.py --format json

### Markdown रिपोर्ट```bash
python3 cve_2026_31694_scanner.py --format markdown

### केवल सुधार मार्गदर्शन प्रिंट करें```bash
python3 cve_2026_31694_scanner.py --mitigation-only

### रिपोर्ट करने के बाद हमेशा सफलता लौटाएँ```bash
python3 cve_2026_31694_scanner.py --no-exit-status

यह मूल्यांकन करता है:```text
CONFIG_FUSE_FS=y
CONFIG_FUSE_FS=m
CONFIG_FUSE_FS is not set

`/dev/fuse` या `fusermount3` की अनुपस्थिति वर्तमान वातावरण से तत्काल उपयोगिता को कम करती है, लेकिन यह साबित नहीं करती कि कर्नेल पैच किया गया है।

### 4. पेज-आकार ज्यामिति

प्रलेखित ओवरसाइज़्ड रिकॉर्ड `4120` बाइट्स का है।

जब होस्ट पेज का आकार कम से कम `4120` बाइट्स होता है, तो प्रलेखित रिकॉर्ड पेज सीमा को पार नहीं करता। स्कैनर यह रिपोर्ट कर सकता है कि सिस्टम प्रलेखित पेज ज्यामिति द्वारा उजागर नहीं हुआ है।

यह निष्कर्ष केवल प्रलेखित रिकॉर्ड और मूल्यांकित कार्यान्वयन व्यवहार पर लागू होता है। यह एक सामान्य कथन नहीं है कि बड़े-पेज प्रणालियों पर सभी FUSE मेमोरी-सुरक्षा समस्याएँ असंभव हैं।

### 5. स्थापित स्रोत निरीक्षण

जब स्थापित स्रोत उपलब्ध होता है, स्कैनर खोज करता है:```text
fs/fuse/readdir.c

जब कोई पैकेज पहचाना जाता है, तो CVE ID या पैच शीर्षक के लिए स्थानीय चेंजलॉग मेटाडेटा का निरीक्षण किया जा सकता है।

चेंजलॉग मेल न मिलना भेद्यता का प्रमाण नहीं है। विक्रेता हमेशा स्थानीय रूप से स्थापित चेंजलॉग में व्यक्तिगत CVE संदर्भ शामिल नहीं करते हैं।

### 7. अपस्ट्रीम संस्करण तुलना

पार्स किया गया कर्नेल संस्करण स्कैनर की निश्चित बेसलाइन तालिका से तुलना की जाती है।

संस्करण तुलना एक अनुमानित (heuristic) परिणाम उत्पन्न करती है क्योंकि:

- विक्रेता कर्नेल में बैकपोर्ट हो सकते हैं;
- कर्नेल पैकेज रिलीज़ संशोधन वितरण-विशिष्ट होते हैं;
- क्लाउड, रियल-टाइम, हार्डन्ड, और हार्डवेयर-सक्षमता कर्नेल के अलग पैच समयरेखा हो सकते हैं;
- एक संस्करण स्ट्रिंग एक असंशोधित अपस्ट्रीम रिलीज़ के बजाय विक्रेता-अनुरक्षित शाखा का प्रतिनिधित्व कर सकती है।

### 8. पैकेज अपडेट मेटाडेटा

जहां समर्थित है, स्कैनर मौजूदा स्थानीय मेटाडेटा के विरुद्ध केवल-पढ़ने योग्य क्वेरी चलाता है।

यह रिपॉजिटरी को रीफ्रेश नहीं करता है।

उदाहरण:```text
apt list --upgradable
pacman -Qu
dnf --cacheonly --quiet check-upgrade
zypper --no-refresh list-patches --all --cve=CVE-2026-31694
apk version -l <

जब `--no-exit-status` निर्दिष्ट किया जाता है, स्कैनर रिपोर्ट तैयार करने के बाद `0` लौटाता है।

---

## डिटेक्शन स्रोत

स्कैनर निम्नलिखित स्थानीय स्रोतों का उपयोग करता है जहाँ उपलब्ध हों:

| स्रोत | जानकारी |
|---|---|
| `/etc/os-release` | वितरण पहचान |
| `/usr/lib/os-release` | वितरण पहचान फ़ॉलबैक |
| `/proc/version` | कर्नेल और WSL संकेतक |
| `/proc/config.gz` | चालू कर्नेल कॉन्फ़िगरेशन |
| `/boot/config-*` | कर्नेल कॉन्फ़िगरेशन |
| `/lib/modules/*/build/.config` | कर्नेल बिल्ड कॉन्फ़िगरेशन |
| `/proc/filesystems` | पंजीकृत फ़ाइलसिस्टम |
| `/proc/self/mountinfo` | सक्रिय FUSE माउंट |
| `/proc/1/cgroup` | कंटेनर संकेतक |
| `/dev/fuse` | डिवाइस उपस्थिति और अनुमतियाँ |
| `/usr/src/*/fs/fuse/readdir.c` | वैकल्पिक स्रोत-स्तरीय पैच साक्ष्य |
| `/lib/modules` | स्थापित कर्नेल सूची |
| `/usr/lib/modules` | स्थापित कर्नेल सूची |
| `/boot/vmlinuz-*` | स्थापित कर्नेल सूची |
| `/var/run/reboot-required` | Debian-परिवार रिबूट संकेतक |
| पैकेज डेटाबेस | कर्नेल पैकेज स्वामित्व |
| पैकेज चेंजलॉग | वैकल्पिक स्थानीय बैकपोर्ट साक्ष्य |
| पैकेज कैश | वैकल्पिक अपडेट उपलब्धता साक्ष्य |

---

## वितरण समर्थन

### वितरण-परिवार पहचान

| परिवार | मान्यता प्राप्त वितरण |
|---|---|
| Ubuntu | Ubuntu, Linux Mint, Pop!_OS, elementary OS, Zorin OS |
| Debian | Debian, Kali Linux, Raspbian, Parrot OS |
| Arch | Arch Linux, Manjaro, Garuda Linux, EndeavourOS, CachyOS |
| Fedora | Fedora Linux |
| RHEL | RHEL, CentOS, Rocky Linux, AlmaLinux, Oracle Linux, Amazon Linux |
| SUSE | openSUSE Tumbleweed, openSUSE Leap, SLES, SLED |
| Alpine | Alpine Linux |
| Gentoo | Gentoo Linux |
| Void | Void Linux |
| NixOS | NixOS |
| Unknown | सामान्य Linux मार्गदर्शन |

### स्थानीय अपडेट-क्वेरी समर्थन

| परिवार | केवल-पढ़ने वाली अपडेट क्वेरी |
|---|---|
| Debian/Ubuntu | `apt list --upgradable` |
| Arch | `pacman -Qu` |
| Fedora/RHEL | कैश्ड `dnf check-upgrade` |
| SUSE | `zypper` के साथ कैश्ड CVE पैच सूची |
| Alpine | `apk version -l <` |
| Gentoo | लागू नहीं किया गया |
| Void | लागू नहीं किया गया |
| NixOS | लागू नहीं किया गया |
| Unknown | लागू नहीं किया गया |

स्थानीय रूप से दिखाई देने वाले अपडेट की अनुपस्थिति का मतलब यह नहीं है कि फिक्स्ड पैकेज उपलब्ध नहीं है। रिपॉजिटरी मेटाडेटा पुराना हो सकता है या वितरण ने अभी तक पैकेज प्रकाशित नहीं किया हो सकता है।

---

## शमन निर्माण

शमन मार्गदर्शन निम्नलिखित के अनुसार चुना जाता है:

- वितरण परिवार;
- पैकेज प्रबंधक;
- कंटेनर या WSL स्थिति;
- FUSE कॉन्फ़िगरेशन;
- `/dev/fuse` उपलब्धता;
- सक्रिय FUSE माउंट;
- रिबूट स्थिति;
- अंतिम निर्णय।

स्कैनर कमांड प्रिंट करता है लेकिन उन्हें कभी निष्पादित नहीं करता।

### Debian और Ubuntu परिवार

विशिष्ट उत्पन्न अनुक्रम:```bash
sudo apt update
sudo apt full-upgrade
sudo reboot

### Arch और Manjaro परिवार

विशिष्ट उत्पन्न अनुक्रम:```bash
sudo pacman -Syu
sudo reboot

`yum` का उपयोग करने वाले सिस्टम संबंधित `yum` कमांड प्राप्त कर सकते हैं।

### SUSE परिवार

विशिष्ट उत्पन्न अनुक्रम:```bash
sudo zypper refresh
sudo zypper patch --cve=CVE-2026-31694
sudo zypper patch --category security
sudo systemctl reboot

The privilege prefix इस बात पर निर्भर करता है कि स्कैनर को `sudo`, `doas`, या पहले से root सत्र मिलता है या नहीं।

### Gentoo Linux

विशिष्ट उत्पन्न अनुक्रम:```bash
sudo emaint sync -a
sudo emerge --ask --update --deep --newuse @world

### NixOS

विशिष्ट उत्पन्न अनुक्रम:```bash
sudo nixos-rebuild switch --upgrade
sudo systemctl reboot

समकक्ष Compose कॉन्फ़िगरेशन की भी समीक्षा की जानी चाहिए:```yaml
devices:
  - /dev/fuse:/dev/fuse

cap_add:
  - SYS_ADMIN

privileged: true

ये कमांड Windows PowerShell से चलाएँ, डिस्ट्रीब्यूशन को पुनः आरंभ करें, और स्कैनर को फिर से चलाएँ।

केवल `apt`, `dnf`, या किसी अन्य Linux पैकेज मैनेजर से गेस्ट पैकेज अपडेट करने से WSL कर्नेल प्रतिस्थापित नहीं होता है।

### वर्चुअल मशीनें

एक वर्चुअल मशीन सामान्यतः अपने गेस्ट कर्नेल की स्वामी होती है। डिस्ट्रीब्यूशन-विशिष्ट पैकेज और रीबूट जाँचें गेस्ट के अंदर लागू रहती हैं।

हाइपरवाइज़र होस्ट का मूल्यांकन अलग से किया जाना चाहिए।

---

## रिपोर्ट प्रारूप

### टेक्स्ट

टेक्स्ट आउटपुट सीधे टर्मिनल उपयोग के लिए है।```bash
python3 cve_2026_31694_scanner.py --format text

फ़ील्ड चयन का उदाहरण:```bash
python3 cve_2026_31694_scanner.py --format json --no-exit-status |
  python3 -c '
import json
import sys

report = json.load(sys.stdin)
print(report["hostname"])
print(report["verdict"])
print(report["confidence"])
print(report["kernel_release"])
'

### केवल-शमन रिपोर्ट```bash
python3 cve_2026_31694_scanner.py \
  --mitigation-only \
  --format markdown

### किसी कार्य को विफल किए बिना रिपोर्ट संग्रहण```bash
python3 cve_2026_31694_scanner.py \
  --format json \
  --output /var/tmp/cve-2026-31694.json \
  --no-exit-status

यह उसी रिपोर्ट फ़ाइल को अधिलेखित करता है। जब ऐतिहासिक रिपोर्ट आवश्यक हों तो रैपर स्क्रिप्ट का उपयोग करें।

### Systemd सेवा उदाहरण```ini
[Unit]
Description=Passive CVE-2026-31694 assessment
After=local-fs.target

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 /opt/security/cve_2026_31694_scanner.py --format json --output /var/log/cve-2026-31694.json --no-exit-status
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/log

फिर विक्रेता सलाह (vendor advisory) के अनुसार सटीक कर्नेल पैकेज की पुष्टि करें।

### रिबूट सत्यापन

एक फिक्स्ड कर्नेल पैकेज स्थापित करने से वर्तमान में चल रहे कर्नेल में कोई परिवर्तन नहीं होता है।

स्थापित और चल रहे दोनों कर्नेल की पुष्टि करें, फिर आवश्यकतानुसार रिबूट करें।

उदाहरण:```bash
uname -r
ls -1 /lib/modules

### FUSE निर्भरता समीक्षा

FUSE को अस्थायी रूप से अनलोड या ब्लॉक करने से पहले:```bash
findmnt -t fuse,fuseblk,fusectl
lsmod | grep '^fuse'
ps aux | grep -E '[f]usermount|[s]shfs|[r]clone'

and the source package or build directory used for that exact kernel.

### Stale package metadata

The scanner does not refresh repositories.

Package update checks depend on existing local cache state.

Use the generated distribution-specific refresh and upgrade commands for an up-to-date package decision.

### Containers

A container sees the host kernel but normally has different package metadata.

Run the scanner on the host.

### WSL

Linux guest package state does not determine WSL kernel patch status.

Update WSL from Windows.

### Custom kernels

Custom, embedded, appliance, vendor, and self-built kernels may not have package metadata or recognizable version strings.

Inspect the actual source commit or vendor release notes.

### Live patching

The scanner does not determine whether a live-patch framework has applied this specific correction to the running kernel.

Use the live-patch vendor's status tools and advisory data.

### Secure boot and bootloader state

The scanner does not verify:

- which kernel the bootloader will select next;
- whether Secure Boot accepts the installed image;
- whether a new initramfs was generated correctly;
- whether the machine successfully rebooted into the expected kernel.

### Distributed filesystems and namespaces

The scanner assesses the current process namespace.

Mounts or device access hidden by namespaces may not appear in the report.

---

## Troubleshooting

### `Kernel configuration could not be determined`

Check whether one of these files exists:```bash
ls -l /proc/config.gz
ls -l /boot/config-"$(uname -r)"
ls -l /lib/modules/"$(uname -r)"/build/.config

### पैकेज अपडेट क्वेरी कोई अपडेट नहीं दर्शाती

जनरेट किए गए माइटिगेशन गाइड का उपयोग करके पैकेज मेटाडेटा रीफ़्रेश करें, फिर स्कैनर को दोबारा चलाएँ।

पैसिव स्कैनर रिपॉज़िटरीज़ को स्वचालित रूप से रीफ़्रेश नहीं करता है।

### अपडेट इंस्टॉल करने के बाद `POTENTIALLY_VULNERABLE`

पुष्टि करें कि नया कर्नेल चल रहा है:```bash
uname -r

रीबूट अभी भी आवश्यक हो सकता है।

विक्रेता की एडवाइज़री भी जाँचें, क्योंकि एक फिक्स्ड बैकपोर्ट अपस्ट्रीम संस्करण बेसलाइन से मेल नहीं खा सकता है।

### FUSE कर्नेल में बनाया गया है

जब रिपोर्ट दिखाती है:```text
CONFIG_FUSE_FS=y

सेवा हार्डनिंग को समायोजित करें ताकि ये पथ पठनीय बने रहें।

---

## फ़ाइल लेआउट

अनुशंसित प्रोजेक्ट लेआउट:```text
cve-2026-31694-scanner/
├── README.md
└── cve_2026_31694_scanner.py

उदाहरण:```bash
sudo install -d -m 0755 /opt/security/cve-2026-31694

sudo install -m 0755 \
  cve_2026_31694_scanner.py \
  /opt/security/cve-2026-31694/

sudo install -m 0644 \
  README.md \
  /opt/security/cve-2026-31694/