### Dati di baseline dello scanner

Lo scanner contiene le seguenti baseline di correzione dei rami stabili upstream:

| Serie del kernel | Baseline di correzione |
|---|---:|
| 5.10 | 5.10.258 |
| 5.15 | 5.15.209 |
| 6.1 | 6.1.175 |
| 6.6 | 6.6.136 |
| 6.12 | 6.12.84 |
| 6.18 | 6.18.25 |
| 7.0 | 7.0.2 |
| Mainline | 7.1 o successiva |

Queste versioni sono utilizzate come un input della valutazione. Non sono considerate l'unica fonte di verità perché i vendor delle distribuzioni potrebbero effettuare il backport della correzione mantenendo un numero di versione upstream più vecchio.

---

## Modello di sicurezza

Lo scanner è progettato per evitare di invocare l'operazione vulnerabile.

### Lo scanner non

- monta un filesystem FUSE;
- apre o comunica con `/dev/fuse`;
- avvia un server FUSE;
- invia record di directory appositamente costruiti;
- alloca memoria per test di posizionamento delle pagine;
- prepara gli allocatori del kernel;
- modifica `/etc/passwd`;
- modifica la configurazione del kernel;
- carica o scarica moduli del kernel;
- modifica i permessi di `/dev/fuse`;
- installa o rimuove pacchetti;
- riavvia il sistema;
- tenta l'escalation dei privilegi.

### Lo scanner può

- leggere file in `/proc`, `/boot`, `/lib/modules`, `/usr/lib/modules`, `/usr/src` e nelle directory dei metadati dei pacchetti;
- eseguire query sui pacchetti limitate e di sola lettura;
- ispezionare i mount attivi e la registrazione dei filesystem;
- scrivere un report solo quando `--output` viene fornito esplicitamente;
- stampare comandi di mitigazione per la revisione dell'amministratore.

I comandi di mitigazione sono output documentale. Non vengono mai eseguiti automaticamente.

---

## Funzionalità

### Identificazione di host e kernel

- Legge `platform.release()` e analizza la versione del kernel in stile upstream.
- Legge `/etc/os-release` o `/usr/lib/os-release`.
- Rileva l'architettura della CPU e la dimensione delle pagine di memoria.
- Identifica se il kernel analizzato appartiene al sistema operativo corrente.

### Valutazione dell'esposizione FUSE

- Legge `CONFIG_FUSE_FS` dalle fonti di configurazione del kernel disponibili.
- Rileva il supporto FUSE integrato e le configurazioni di modulo caricabile.
- Legge `/proc/filesystems`.
- Controlla i metadati di `/dev/fuse` e l'accesso in lettura/scrittura per l'utente corrente.
- Individua `fusermount3` o `fusermount`.
- Analizza i mount FUSE attivi da `/proc/self/mountinfo`.

### Evidenza della patch

- Confronta la versione in esecuzione con le baseline di correzione upstream.
- Cerca nel sorgente del kernel installato il controllo per i record sovradimensionati.
- Controlla i changelog locali dei pacchetti RPM o Debian per:
  - `CVE-2026-31694`;
  - il titolo della patch upstream.

### Stato dei pacchetti e del riavvio

- Tenta di identificare il pacchetto proprietario del kernel in esecuzione.
- Interroga i metadati locali del gestore pacchetti senza aggiornare i repository.
- Rileva un kernel installato più recente quando l'ambiente host è autorevole.
- Controlla `/var/run/reboot-required` dove applicabile.

### Consapevolezza dell'ambiente

- Rileva container compatibili con Docker.
- Rileva container compatibili con Podman.
- Rileva cgroups relativi ai container.
- Rileva WSL.
- Rileva macchine virtuali usando `systemd-detect-virt` quando disponibile.

### Reportistica

- Output di testo leggibile.
- Output JSON leggibile da macchina.
- Output di report in Markdown.
- Output di sole mitigazioni.
- Output opzionale su file.
- Codici di uscita del processo significativi.

---

## Requisiti

### Richiesti

- Linux per la valutazione del kernel.
- Python 3.9 o successivo.
- Accesso in lettura ai normali metadati di sistema.

Lo scanner utilizza solo la libreria standard di Python.

### Comandi opzionali

Ulteriori evidenze vengono raccolte quando sono presenti i seguenti strumenti:

| Tool | Scopo |
|---|---|
| `dpkg-query` | Rilevamento della proprietà del pacchetto kernel e dei changelog su Debian/Ubuntu |
| `rpm` | Ispezione della proprietà dei pacchetti e dei changelog su Fedora/RHEL/SUSE |
| `pacman` | Metadati dei pacchetti e degli aggiornamenti del kernel per la famiglia Arch |
| `apt` | Query sugli aggiornamenti in cache per la famiglia Debian |
| `dnf` o `dnf5` | Query sugli aggiornamenti in cache per Fedora/RHEL |
| `zypper` | Query sulle patch CVE in cache per SUSE |
| `apk` | Query su pacchetti/aggiornamenti per Alpine |
| `systemd-detect-virt` | Rilevamento di container e macchine virtuali |

Per la scansione normale non sono richiesti privilegi di root.

Alcune evidenze potrebbero non essere disponibili per un account senza privilegi a causa di permessi dei file specifici del sistema.

---

## Installazione

Posiziona lo scanner in una directory di lavoro:```bash
chmod +x cve_2026_31694_scanner.py

Oppure invocalo con Python:```bash
python3 cve_2026_31694_scanner.py

### Output JSON```bash
python3 cve_2026_31694_scanner.py --format json

### Report Markdown```bash
python3 cve_2026_31694_scanner.py --format markdown

### Stampa solo le indicazioni di remediation```bash
python3 cve_2026_31694_scanner.py --mitigation-only

### Restituisci sempre successo dopo la segnalazione```bash
python3 cve_2026_31694_scanner.py --no-exit-status

Valuta:```text
CONFIG_FUSE_FS=y
CONFIG_FUSE_FS=m
CONFIG_FUSE_FS is not set

L'assenza di `/dev/fuse` o `fusermount3` riduce l'usabilità immediata nell'ambiente corrente, ma non dimostra che il kernel sia stato patchato.

### 4. Geometria della dimensione di pagina

Il record sovradimensionato documentato è di `4120` byte.

Quando la dimensione della pagina host è di almeno `4120` byte, il record documentato non attraversa un confine di pagina. Lo scanner può segnalare che il sistema non risulta esposto secondo la geometria di pagina documentata.

Questa conclusione si applica solo al record documentato e al comportamento valutato dell'implementazione. Non è un'affermazione generale secondo cui tutti i problemi di sicurezza della memoria di FUSE siano impossibili sui sistemi con pagine più grandi.

### 5. Ispezione del sorgente installato

Quando il sorgente installato è disponibile, lo scanner cerca:```text
fs/fuse/readdir.c

Quando un pacchetto viene identificato, i metadati del changelog locale possono essere ispezionati per l'ID CVE o il titolo della patch.

La mancata corrispondenza nel changelog non è una prova di vulnerabilità. I vendor non includono sempre i riferimenti CVE individuali nei changelog installati localmente.

### 7. Confronto con la versione upstream

La versione del kernel analizzata viene confrontata con la tabella baseline fissa dello scanner.

Il confronto delle versioni produce un risultato euristico perché:

- i kernel dei vendor possono contenere backport;
- le revisioni di rilascio dei pacchetti kernel sono specifiche della distribuzione;
- i kernel cloud, real-time, induriti e di abilitazione hardware possono avere tempistiche di patch separate;
- una stringa di versione può rappresentare un branch mantenuto dal vendor piuttosto che una release upstream non modificata.

### 8. Metadati degli aggiornamenti dei pacchetti

Dove supportato, lo scanner esegue query di sola lettura sui metadati locali esistenti.

Non aggiorna i repository.

Esempi:```text
apt list --upgradable
pacman -Qu
dnf --cacheonly --quiet check-upgrade
zypper --no-refresh list-patches --all --cve=CVE-2026-31694
apk version -l <

Quando viene specificato `--no-exit-status`, lo scanner restituisce `0` dopo aver generato il report.

---

## Fonti di rilevamento

Lo scanner utilizza le seguenti fonti locali, quando disponibili:

| Sorgente | Informazioni |
|---|---|
| `/etc/os-release` | Identità della distribuzione |
| `/usr/lib/os-release` | Identità della distribuzione (fallback) |
| `/proc/version` | Indicatori kernel e WSL |
| `/proc/config.gz` | Configurazione del kernel in esecuzione |
| `/boot/config-*` | Configurazione del kernel |
| `/lib/modules/*/build/.config` | Configurazione di build del kernel |
| `/proc/filesystems` | Filesystem registrati |
| `/proc/self/mountinfo` | Mount FUSE attivi |
| `/proc/1/cgroup` | Indicatori di container |
| `/dev/fuse` | Presenza e permessi del dispositivo |
| `/usr/src/*/fs/fuse/readdir.c` | Prova facoltativa di patch a livello di sorgente |
| `/lib/modules` | Inventario dei kernel installati |
| `/usr/lib/modules` | Inventario dei kernel installati |
| `/boot/vmlinuz-*` | Inventario dei kernel installati |
| `/var/run/reboot-required` | Indicatore di riavvio per la famiglia Debian |
| database dei pacchetti | Proprietà dei pacchetti del kernel |
| changelog dei pacchetti | Prova facoltativa locale di backport |
| cache dei pacchetti | Prova facoltativa di disponibilità di aggiornamenti |

---

## Supporto distribuzioni

### Rilevamento della famiglia di distribuzione

| Famiglia | Distribuzioni riconosciute |
|---|---|
| Ubuntu | Ubuntu, Linux Mint, Pop!_OS, elementary OS, Zorin OS |
| Debian | Debian, Kali Linux, Raspbian, Parrot OS |
| Arch | Arch Linux, Manjaro, Garuda Linux, EndeavourOS, CachyOS |
| Fedora | Fedora Linux |
| RHEL | RHEL, CentOS, Rocky Linux, AlmaLinux, Oracle Linux, Amazon Linux |
| SUSE | openSUSE Tumbleweed, openSUSE Leap, SLES, SLED |
| Alpine | Alpine Linux |
| Gentoo | Gentoo Linux |
| Void | Void Linux |
| NixOS | NixOS |
| Sconosciuta | Guida generica per Linux |

### Supporto per la query di aggiornamento locale

| Famiglia | Query di aggiornamento in sola lettura |
|---|---|
| Debian/Ubuntu | `apt list --upgradable` |
| Arch | `pacman -Qu` |
| Fedora/RHEL | `dnf check-upgrade` in cache |
| SUSE | elenco di patch CVE in cache con `zypper` |
| Alpine | `apk version -l <` |
| Gentoo | Non implementato |
| Void | Non implementato |
| NixOS | Non implementato |
| Sconosciuta | Non implementato |

L'assenza di un aggiornamento visibile localmente non significa che un pacchetto corretto non sia disponibile. I metadati del repository potrebbero essere obsoleti oppure la distribuzione potrebbe non aver ancora pubblicato un pacchetto.

---

## Generazione delle mitigazioni

Le indicazioni di mitigazione vengono selezionate in base a:

- famiglia di distribuzione;
- gestore di pacchetti;
- stato del container o WSL;
- configurazione FUSE;
- disponibilità di `/dev/fuse`;
- mount FUSE attivi;
- stato di riavvio;
- verdetto finale.

Lo scanner stampa i comandi ma non li esegue mai.

### Famiglia Debian e Ubuntu

Sequenza tipica generata:```bash
sudo apt update
sudo apt full-upgrade
sudo reboot

### Famiglia Arch e Manjaro

Sequenza tipica generata:```bash
sudo pacman -Syu
sudo reboot

Systems using `yum` may receive the corresponding `yum` command.

### Famiglia SUSE

Sequenza tipica generata:```bash
sudo zypper refresh
sudo zypper patch --cve=CVE-2026-31694
sudo zypper patch --category security
sudo systemctl reboot

Il prefisso dei privilegi dipende dal fatto che lo scanner trovi `sudo`, `doas` o una sessione già avviata come root.

### Gentoo Linux

Sequenza tipica generata:```bash
sudo emaint sync -a
sudo emerge --ask --update --deep --newuse @world

### NixOS

Sequenza tipica generata:```bash
sudo nixos-rebuild switch --upgrade
sudo systemctl reboot

Anche la configurazione Compose equivalente dovrebbe essere revisionata:```yaml
devices:
  - /dev/fuse:/dev/fuse

cap_add:
  - SYS_ADMIN

privileged: true

Esegui questi comandi da Windows PowerShell, riavvia la distribuzione e riesegui lo scanner.

L'aggiornamento dei soli pacchetti guest con `apt`, `dnf` o un altro gestore di pacchetti Linux non sostituisce il kernel WSL.

### Macchine virtuali

Una macchina virtuale normalmente possiede il proprio kernel guest. I controlli di aggiornamento e riavvio specifici della distribuzione rimangono applicabili all'interno del guest.

L'host hypervisor dovrebbe essere valutato separatamente.

---

## Formati di report

### Testo

L'output di testo è pensato per l'uso diretto da terminale.```bash
python3 cve_2026_31694_scanner.py --format text

Esempio di selezione dei campi:```bash
python3 cve_2026_31694_scanner.py --format json --no-exit-status |
  python3 -c '
import json
import sys

report = json.load(sys.stdin)
print(report["hostname"])
print(report["verdict"])
print(report["confidence"])
print(report["kernel_release"])
'

### Report di sola mitigazione```bash
python3 cve_2026_31694_scanner.py \
  --mitigation-only \
  --format markdown

### Raccolta dei report senza far fallire un job```bash
python3 cve_2026_31694_scanner.py \
  --format json \
  --output /var/tmp/cve-2026-31694.json \
  --no-exit-status

Questo sovrascrive lo stesso file di report. Usa uno script wrapper quando sono necessari report storici.

### Esempio di servizio Systemd```ini
[Unit]
Description=Passive CVE-2026-31694 assessment
After=local-fs.target

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 /opt/security/cve_2026_31694_scanner.py --format json --output /var/log/cve-2026-31694.json --no-exit-status
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/log

8. Riesegui lo scanner.

### Risposta consigliata a `INCONCLUSIVE`

Raccogli le prove mancanti:```bash
uname -a
getconf PAGE_SIZE
cat /etc/os-release
grep CONFIG_FUSE_FS /boot/config-"$(uname -r)" 2>/dev/null
cat /proc/filesystems
ls -l /dev/fuse 2>/dev/null
findmnt -t fuse,fuseblk,fusectl

I sistemi della famiglia Debian possono anche fornire:```bash
test -e /var/run/reboot-required && cat /var/run/reboot-required

Non rimuovere il modulo mentre sono montati filesystem FUSE attivi.

---

## Limitazioni

### Nessuna conferma di exploit

Lo scanner non innesca intenzionalmente il percorso di codice vulnerabile.

Un verdetto `POTENTIALLY_VULNERABLE` significa che le prove passive disponibili sono coerenti con l'esposizione. Non è una prova che lo sfruttamento avrà successo.

### Backport dei fornitori

I kernel delle distribuzioni spesso includono backport delle correzioni di sicurezza.

Una versione upstream dall'aspetto più vecchio potrebbe essere già stata corretta.

L'avviso del fornitore e la versione esatta del pacchetto sono fonti autorevoli per i kernel gestiti dalla distribuzione.

### Disallineamento dell'albero dei sorgenti

Un albero dei sorgenti trovato in `/usr/src` potrebbe non corrispondere al kernel in esecuzione.

L'evidenza delle patch nei sorgenti dovrebbe essere validata rispetto a:```bash
uname -r

Alcune distribuzioni non espongono la configurazione corrente tramite `/proc/config.gz`.

### `Running kernel package could not be identified`

Possibili cause:

- in esecuzione all'interno di un container;
- l'immagine del kernel non è presente nel filesystem corrente;
- kernel personalizzato;
- database dei pacchetti non disponibile;
- kernel fornito dalla piattaforma;
- permessi insufficienti.

Controlla:```bash
uname -r
ls -l /boot
ls -l /lib/modules/"$(uname -r)"

Confrontalo con le directory dei kernel installati:```bash
ls -1 /lib/modules

`modprobe -r fuse` e la blacklist dei moduli non possono disabilitare FUSE.

Usa un kernel patchato o un kernel compilato senza supporto FUSE.

### L'output dello scanner è incompleto con il sandboxing di systemd

Lo scanner potrebbe aver bisogno di accesso in lettura a:```text
/proc
/boot
/lib/modules
/usr/lib/modules
/usr/src
package database directories
package cache directories

Layout di installazione consigliato:```text
/opt/security/cve-2026-31694/
├── README.md
└── cve_2026_31694_scanner.py

---

## Riferimenti

- Record CVE: <https://www.cve.org/CVERecord?id=CVE-2026-31694>
- Record NVD: <https://nvd.nist.gov/vuln/detail/CVE-2026-31694>
- Riferimento alla patch stabile Linux: <https://git.kernel.org/stable/c/51a8de6c50bf947c8f534cd73da4c8f0a13e7bed>
- Stato Ubuntu: <https://ubuntu.com/security/CVE-2026-31694>
- Tracker di sicurezza Debian: <https://security-tracker.debian.org/tracker/CVE-2026-31694>
- Database CVE Red Hat: <https://access.redhat.com/security/cve/CVE-2026-31694>
- Database CVE SUSE: <https://www.suse.com/security/cve/CVE-2026-31694.html>

---

## Autore

**Aung Myat Thu [w01f]**