### Базовые данные сканера

Сканер содержит следующие стабильные исправленные эталонные версии из upstream:

| Серия ядра | Исправленная эталонная версия |
|---|---:|
| 5.10 | 5.10.258 |
| 5.15 | 5.15.209 |
| 6.1 | 6.1.175 |
| 6.6 | 6.6.136 |
| 6.12 | 6.12.84 |
| 6.18 | 6.18.25 |
| 7.0 | 7.0.2 |
| Mainline | 7.1 или новее |

Эти версии используются как один из входных параметров оценки. Они не считаются единственным источником истины, поскольку дистрибьюторы могут перенести исправление, сохраняя при этом более старый номер версии upstream.

---

## Модель безопасности

Сканер спроектирован так, чтобы не вызывать уязвимую операцию.

### Сканер не делает

- не монтирует файловую систему FUSE;
- не открывает и не взаимодействует с `/dev/fuse`;
- не запускает FUSE-сервер;
- не передаёт специально сформированные записи каталогов;
- не выделяет память для тестирования размещения страниц;
- не выполняет груминг аллокаторов ядра;
- не изменяет `/etc/passwd`;
- не изменяет конфигурацию ядра;
- не загружает и не выгружает модули ядра;
- не изменяет права доступа к `/dev/fuse`;
- не устанавливает и не удаляет пакеты;
- не перезагружает систему;
- не пытается повысить привилегии.

### Сканер может

- читать файлы в `/proc`, `/boot`, `/lib/modules`, `/usr/lib/modules`, `/usr/src` и каталогах метаданных пакетов;
- выполнять ограниченные, доступные только для чтения запросы к пакетам;
- проверять активные точки монтирования и регистрацию файловых систем;
- записывать отчёт только при явном указании `--output`;
- выводить команды для смягчения последствий для ознакомления администратора.

Команды для смягчения последствий — это справочный вывод. Они никогда не выполняются автоматически.

---

## Возможности

### Идентификация хоста и ядра

- Читает `platform.release()` и разбирает версию ядра в стиле upstream.
- Читает `/etc/os-release` или `/usr/lib/os-release`.
- Определяет архитектуру CPU и размер страницы памяти.
- Определяет, принадлежит ли сканируемое ядро текущей операционной системе.

### Оценка подверженности FUSE

- Читает `CONFIG_FUSE_FS` из доступных источников конфигурации ядра.
- Определяет встроенную поддержку FUSE и конфигурации подгружаемых модулей.
- Читает `/proc/filesystems`.
- Проверяет метаданные `/dev/fuse` и права чтения/записи текущего пользователя.
- Находит `fusermount3` или `fusermount`.
- Разбирает активные FUSE-монтирования из `/proc/self/mountinfo`.

### Признаки наличия исправления

- Сравнивает текущую версию с исправленными эталонными версиями upstream.
- Ищет в установленных исходниках ядра защиту от записей чрезмерного размера.
- Проверяет локальные журналы изменений пакетов RPM или Debian на наличие:
  - `CVE-2026-31694`;
  - названия исправления upstream.

### Состояние пакетов и перезагрузки

- Пытается определить пакет, которому принадлежит работающее ядро.
- Запрашивает локальные метаданные менеджера пакетов без обновления репозиториев.
- Определяет более новое установленное ядро, если окружение хоста является авторитетным.
- Проверяет `/var/run/reboot-required`, где это применимо.

### Определение окружения

- Определяет контейнеры, совместимые с Docker.
- Определяет контейнеры, совместимые с Podman.
- Определяет cgroups, связанные с контейнерами.
- Определяет WSL.
- Определяет виртуальные машины с помощью `systemd-detect-virt`, если он доступен.

### Отчётность

- Вывод в текстовом формате, читаемом человеком.
- Вывод в машиночитаемом формате JSON.
- Вывод отчёта в формате Markdown.
- Вывод только команд для смягчения последствий.
- Необязательный вывод в файл.
- Информативные коды завершения процесса.

---

## Требования

### Обязательные

- Linux для оценки ядра.
- Python 3.9 или новее.
- Доступ на чтение к обычным системным метаданным.

Сканер использует только стандартную библиотеку Python.

### Необязательные команды

Дополнительные свидетельства собираются при наличии следующих инструментов:

| Инструмент | Назначение |
|---|---|
| `dpkg-query` | определение владельца пакета ядра и поиск журнала изменений в Debian/Ubuntu |
| `rpm` | проверка владельца пакета и журнала изменений в Fedora/RHEL/SUSE |
| `pacman` | метаданные пакета ядра и обновлений для семейства Arch |
| `apt` | запрос к кэшированным обновлениям в семействе Debian |
| `dnf` или `dnf5` | запрос к кэшированным обновлениям в Fedora/RHEL |
| `zypper` | запрос к кэшированным исправлениям CVE в SUSE |
| `apk` | запрос пакетов/обновлений в Alpine |
| `systemd-detect-virt` | определение контейнеров и виртуальных машин |

Для обычного сканирования права root не требуются.

Некоторые свидетельства могут быть недоступны непривилегированной учётной записи из-за специфических для системы прав на файлы.

---

## Установка

Поместите сканер в рабочий каталог:```bash
chmod +x cve_2026_31694_scanner.py

Или запустите его с помощью Python:```bash
python3 cve_2026_31694_scanner.py

### Вывод JSON```bash
python3 cve_2026_31694_scanner.py --format json

### Отчёт Markdown```bash
python3 cve_2026_31694_scanner.py --format markdown

### Выводить только рекомендации по устранению```bash
python3 cve_2026_31694_scanner.py --mitigation-only

### Всегда возвращать успех после отчёта```bash
python3 cve_2026_31694_scanner.py --no-exit-status

Он оценивает:```text
CONFIG_FUSE_FS=y
CONFIG_FUSE_FS=m
CONFIG_FUSE_FS is not set

Отсутствие `/dev/fuse` или `fusermount3` снижает немедленную применимость в текущем окружении, но не доказывает, что ядро пропатчено.

### 4. Геометрия размера страницы

Задокументированная запись увеличенного размера составляет `4120` байт.

Когда размер страницы хоста составляет не менее `4120` байт, задокументированная запись не пересекает границу страницы. Сканер может сообщить, что система не подвержена задокументированной геометрии страниц.

Этот вывод относится только к задокументированной записи и оценённому поведению реализации. Это не общее утверждение о том, что все проблемы безопасности памяти FUSE невозможны в системах со страницами большего размера.

### 5. Проверка установленного исходного кода

Если установленный исходный код доступен, сканер ищет:```text
fs/fuse/readdir.c

Когда пакет идентифицирован, локальные метаданные журнала изменений могут быть проверены на наличие CVE ID или заголовка исправления.

Отсутствие совпадения в журнале изменений не является доказательством уязвимости. Вендоры не всегда включают отдельные ссылки на CVE в локально установленные журналы изменений.

### 7. Сравнение с вышестоящей версией

Распознанная версия ядра сравнивается с фиксированной базовой таблицей сканера.

Сравнение версий даёт эвристический результат, потому что:

- вендорные ядра могут содержать бэкпорты;
- ревизии релизов пакетов ядра зависят от дистрибутива;
- облачные, работающие в реальном времени, усиленные и поддерживающие аппаратное обеспечение ядра могут иметь отдельные графики исправлений;
- строка версии может представлять поддерживаемую вендором ветку, а не немодифицированный вышестоящий релиз.

### 8. Метаданные обновления пакетов

Там, где это поддерживается, сканер выполняет запросы только на чтение к существующим локальным метаданным.

Он не обновляет репозитории.

Примеры:```text
apt list --upgradable
pacman -Qu
dnf --cacheonly --quiet check-upgrade
zypper --no-refresh list-patches --all --cve=CVE-2026-31694
apk version -l <

Когда указан `--no-exit-status`, сканер возвращает `0` после формирования отчёта.

---

## Источники обнаружения

Сканер использует следующие локальные источники, если они доступны:

| Источник | Сведения |
|---|---|
| `/etc/os-release` | Идентификация дистрибутива |
| `/usr/lib/os-release` | Идентификация дистрибутива (запасной вариант) |
| `/proc/version` | Индикаторы ядра и WSL |
| `/proc/config.gz` | Конфигурация работающего ядра |
| `/boot/config-*` | Конфигурация ядра |
| `/lib/modules/*/build/.config` | Конфигурация сборки ядра |
| `/proc/filesystems` | Зарегистрированные файловые системы |
| `/proc/self/mountinfo` | Активные монтирования FUSE |
| `/proc/1/cgroup` | Индикаторы контейнера |
| `/dev/fuse` | Наличие устройства и права доступа |
| `/usr/src/*/fs/fuse/readdir.c` | Необязательные признаки патча на уровне исходного кода |
| `/lib/modules` | Перечень установленных ядер |
| `/usr/lib/modules` | Перечень установленных ядер |
| `/boot/vmlinuz-*` | Перечень установленных ядер |
| `/var/run/reboot-required` | Индикатор необходимости перезагрузки для семейства Debian |
| база данных пакетов | Принадлежность пакетов ядра |
| журналы изменений пакетов | Необязательные локальные признаки бэкпорта |
| кэш пакетов | Необязательные признаки доступности обновлений |

---

## Поддержка дистрибутивов

### Определение семейства дистрибутивов

| Семейство | Распознаваемые дистрибутивы |
|---|---|
| Ubuntu | Ubuntu, Linux Mint, Pop!_OS, elementary OS, Zorin OS |
| Debian | Debian, Kali Linux, Raspbian, Parrot OS |
| Arch | Arch Linux, Manjaro, Garuda Linux, EndeavourOS, CachyOS |
| Fedora | Fedora Linux |
| RHEL | RHEL, CentOS, Rocky Linux, AlmaLinux, Oracle Linux, Amazon Linux |
| SUSE | openSUSE Tumbleweed, openSUSE Leap, SLES, SLED |
| Alpine | Alpine Linux |
| Gentoo | Gentoo Linux |
| Void | Void Linux |
| NixOS | NixOS |
| Неизвестно | Общие рекомендации для Linux |

### Поддержка локальных запросов обновлений

| Семейство | Запрос обновлений только для чтения |
|---|---|
| Debian/Ubuntu | `apt list --upgradable` |
| Arch | `pacman -Qu` |
| Fedora/RHEL | кэшированный `dnf check-upgrade` |
| SUSE | кэшированный список патчей CVE через `zypper` |
| Alpine | `apk version -l <` |
| Gentoo | Не реализовано |
| Void | Не реализовано |
| NixOS | Не реализовано |
| Неизвестно | Не реализовано |

Отсутствие локально видимого обновления не означает, что исправленный пакет недоступен. Метаданные репозитория могут быть устаревшими, или дистрибутив ещё не опубликовал пакет.

---

## Формирование рекомендаций по устранению

Рекомендации по устранению выбираются с учётом:

- семейства дистрибутива;
- менеджера пакетов;
- статуса контейнера или WSL;
- конфигурации FUSE;
- доступности `/dev/fuse`;
- активных монтирований FUSE;
- состояния перезагрузки;
- итогового вердикта.

Сканер выводит команды, но никогда не выполняет их.

### Семейство Debian и Ubuntu

Типичная формируемая последовательность:```bash
sudo apt update
sudo apt full-upgrade
sudo reboot

### Семейство Arch и Manjaro

Типичная генерируемая последовательность:```bash
sudo pacman -Syu
sudo reboot

Системы, использующие `yum`, могут получить соответствующую команду `yum`.

### Семейство SUSE

Типичная сгенерированная последовательность:```bash
sudo zypper refresh
sudo zypper patch --cve=CVE-2026-31694
sudo zypper patch --category security
sudo systemctl reboot

Префикс привилегий зависит от того, обнаружит ли сканер `sudo`, `doas` или уже root-сессию.

### Gentoo Linux

Типичная генерируемая последовательность:```bash
sudo emaint sync -a
sudo emerge --ask --update --deep --newuse @world

### NixOS

Типичная генерируемая последовательность:```bash
sudo nixos-rebuild switch --upgrade
sudo systemctl reboot

Эквивалентную конфигурацию Compose также следует проверить:```yaml
devices:
  - /dev/fuse:/dev/fuse

cap_add:
  - SYS_ADMIN

privileged: true

Выполните эти команды в Windows PowerShell, перезапустите дистрибутив и повторно запустите сканер.

Обновление только гостевых пакетов с помощью `apt`, `dnf` или другого пакетного менеджера Linux не заменяет ядро WSL.

### Виртуальные машины

Виртуальная машина обычно владеет собственным гостевым ядром. Проверки пакетов и перезагрузок, специфичные для дистрибутива, остаются применимы внутри гостевой системы.

Узел гипервизора следует оценивать отдельно.

---

## Форматы отчетов

### Текст

Текстовый вывод предназначен для непосредственного использования в терминале.```bash
python3 cve_2026_31694_scanner.py --format text

Пример выбора поля:```bash
python3 cve_2026_31694_scanner.py --format json --no-exit-status |
  python3 -c '
import json
import sys

report = json.load(sys.stdin)
print(report["hostname"])
print(report["verdict"])
print(report["confidence"])
print(report["kernel_release"])
'

### Отчет только о мерах по смягчению```bash
python3 cve_2026_31694_scanner.py \
  --mitigation-only \
  --format markdown

### Сбор отчётов без сбоя задания```bash
python3 cve_2026_31694_scanner.py \
  --format json \
  --output /var/tmp/cve-2026-31694.json \
  --no-exit-status

Это перезаписывает тот же файл отчёта. Используйте скрипт-обёртку, если требуются исторические отчёты.

### Пример службы Systemd```ini
[Unit]
Description=Passive CVE-2026-31694 assessment
After=local-fs.target

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 /opt/security/cve_2026_31694_scanner.py --format json --output /var/log/cve-2026-31694.json --no-exit-status
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/log

Затем сверьте точный пакет ядра с бюллетенем безопасности поставщика.

### Проверка после перезагрузки

Установка исправленного пакета ядра не меняет текущее исполняемое ядро.

Проверьте как установленные, так и запущенные ядра, затем перезагрузите систему при необходимости.

Примеры:```bash
uname -r
ls -1 /lib/modules

### Проверка зависимостей FUSE

Перед временной выгрузкой или блокировкой FUSE:```bash
findmnt -t fuse,fuseblk,fusectl
lsmod | grep '^fuse'
ps aux | grep -E '[f]usermount|[s]shfs|[r]clone'

и исходный пакет или каталог сборки, использованные для этого конкретного ядра.

### Устаревшие метаданные пакетов

Сканер не обновляет репозитории.

Проверки обновлений пакетов зависят от текущего состояния локального кэша.

Используйте сгенерированные команды обновления и модернизации для конкретного дистрибутива, чтобы принять решение об актуальности пакетов.

### Контейнеры

Контейнер видит ядро хоста, но обычно имеет другие метаданные пакетов.

Запускайте сканер на хосте.

### WSL

Состояние пакетов в Linux-гостевой системе не определяет статус исправлений ядра WSL.

Обновляйте WSL из Windows.

### Пользовательские ядра

Собственные, встроенные, appliance, вендорские и самостоятельно собранные ядра могут не иметь метаданных пакетов или распознаваемых строк версий.

Изучите фактический коммит исходного кода или примечания к выпуску вендора.

### Live-патчинг

Сканер не определяет, применил ли фреймворк live-patching данное конкретное исправление к работающему ядру.

Используйте инструменты состояния и данные бюллетеней от вендора live-patch.

### Состояние Secure Boot и загрузчика

Сканер не проверяет:

- какое ядро загрузчик выберет следующим;
- принимает ли Secure Boot установленный образ;
- был ли корректно создан новый initramfs;
- успешно ли машина перезагрузилась в ожидаемое ядро.

### Распределённые файловые системы и пространства имён

Сканер оценивает текущее пространство имён процесса.

Точки монтирования или доступ к устройствам, скрытые пространствами имён, могут не отображаться в отчёте.

---

## Устранение неполадок

### `Kernel configuration could not be determined`

Проверьте, существует ли один из этих файлов:```bash
ls -l /proc/config.gz
ls -l /boot/config-"$(uname -r)"
ls -l /lib/modules/"$(uname -r)"/build/.config

### Запрос обновления пакетов не сообщает об обновлениях

Обновите метаданные пакетов, используя сгенерированное руководство по устранению уязвимостей, затем повторно запустите сканер.

Пассивный сканер не обновляет репозитории автоматически.

### `POTENTIALLY_VULNERABLE` после установки обновлений

Убедитесь, что запущено новое ядро:```bash
uname -r

Возможно, потребуется перезагрузка.

Также проверьте рекомендации вендора, поскольку исправленный бэкпорт может не совпадать с базовой версией upstream.

### FUSE встроен в ядро

Когда в отчёте указано:```text
CONFIG_FUSE_FS=y

Настройте усиление службы так, чтобы эти пути оставались читаемыми.

---

## Структура файлов

Рекомендуемая структура проекта:```text
cve-2026-31694-scanner/
├── README.md
└── cve_2026_31694_scanner.py

Пример:```bash
sudo install -d -m 0755 /opt/security/cve-2026-31694

sudo install -m 0755 \
  cve_2026_31694_scanner.py \
  /opt/security/cve-2026-31694/

sudo install -m 0644 \
  README.md \
  /opt/security/cve-2026-31694/