### 扫描器基线数据

扫描器包含以下上游稳定修复基线：

| 内核系列 | 修复基线 |
|---|---:|
| 5.10 | 5.10.258 |
| 5.15 | 5.15.209 |
| 6.1 | 6.1.175 |
| 6.6 | 6.6.136 |
| 6.12 | 6.12.84 |
| 6.18 | 6.18.25 |
| 7.0 | 7.0.2 |
| 主线 | 7.1 或更高版本 |

这些版本被用作评估输入之一。它们并非唯一的判断依据，因为发行版厂商可能会在保留较旧上游版本号的同时向后移植修复补丁。

---

## 安全模型

该扫描器旨在避免触发易受攻击的操作。

### 扫描器不会

- 挂载 FUSE 文件系统；
- 打开或与 `/dev/fuse` 通信；
- 启动 FUSE 服务器；
- 提交特制的目录记录；
- 为页放置测试分配内存；
- 整理内核分配器；
- 修改 `/etc/passwd`；
- 更改内核配置；
- 加载或卸载内核模块；
- 修改 `/dev/fuse` 权限；
- 安装或移除软件包；
- 重启系统；
- 尝试提权。

### 扫描器可能

- 读取 `/proc`、`/boot`、`/lib/modules`、`/usr/lib/modules`、`/usr/src` 以及软件包元数据目录下的文件；
- 执行有界、只读的软件包查询；
- 检查活动挂载和文件系统注册信息；
- 仅在显式提供 `--output` 时写入报告；
- 打印缓解命令供管理员审阅。

缓解命令是文档性输出，绝不会自动执行。

---

## 功能

### 主机与内核识别

- 读取 `platform.release()` 并解析上游风格的内核版本。
- 读取 `/etc/os-release` 或 `/usr/lib/os-release`。
- 检测 CPU 架构和内存页大小。
- 识别被扫描的内核是否属于当前操作系统。

### FUSE 暴露评估

- 从可用的内核配置源读取 `CONFIG_FUSE_FS`。
- 检测内置 FUSE 支持和可加载模块配置。
- 读取 `/proc/filesystems`。
- 检查 `/dev/fuse` 元数据和当前用户的读/写访问权限。
- 定位 `fusermount3` 或 `fusermount`。
- 从 `/proc/self/mountinfo` 解析活动的 FUSE 挂载。

### 补丁证据

- 将正在运行的版本与上游修复基线进行比较。
- 在已安装的内核源码中搜索超长记录防护代码。
- 检查本地 RPM 或 Debian 软件包变更日志中是否包含：
  - `CVE-2026-31694`；
  - 上游补丁标题。

### 软件包与重启状态

- 尝试识别拥有当前运行内核的软件包。
- 在不刷新软件源的情况下查询本地软件包管理器元数据。
- 当主机环境具有权威性时，检测是否有更新的已安装内核。
- 在适用时检查 `/var/run/reboot-required`。

### 环境感知

- 检测与 Docker 兼容的容器。
- 检测与 Podman 兼容的容器。
- 检测与容器相关的 cgroups。
- 检测 WSL。
- 在可用时使用 `systemd-detect-virt` 检测虚拟机。

### 报告

- 人类可读的文本输出。
- 机器可读的 JSON 输出。
- Markdown 报告输出。
- 仅缓解命令输出。
- 可选的文件输出。
- 有意义的进程退出码。

---

## 要求

### 必需项

- 需 Linux 进行内核评估。
- Python 3.9 或更高版本。
- 对常规系统元数据的读取权限。

该扫描器仅使用 Python 标准库。

### 可选命令

当存在以下工具时，会收集额外的证据：

| 工具 | 用途 |
|---|---|
| `dpkg-query` | Debian/Ubuntu 内核软件包所有权和变更日志发现 |
| `rpm` | Fedora/RHEL/SUSE 软件包所有权和变更日志检查 |
| `pacman` | Arch 系列内核软件包和更新元数据 |
| `apt` | Debian 系列缓存更新查询 |
| `dnf` 或 `dnf5` | Fedora/RHEL 缓存更新查询 |
| `zypper` | SUSE 缓存 CVE 补丁查询 |
| `apk` | Alpine 软件包/更新查询 |
| `systemd-detect-virt` | 容器和虚拟机检测 |

正常扫描不需要 root 权限。

由于系统特定的文件权限，某些证据可能对非特权账户不可用。

---

## 安装

将扫描器放到一个工作目录中：```bash
chmod +x cve_2026_31694_scanner.py

或者使用 Python 调用它：```bash
python3 cve_2026_31694_scanner.py

### JSON 输出```bash
python3 cve_2026_31694_scanner.py --format json

### Markdown 报告```bash
python3 cve_2026_31694_scanner.py --format markdown

### 仅打印修复指导```bash
python3 cve_2026_31694_scanner.py --mitigation-only

### 报告后始终返回成功```bash
python3 cve_2026_31694_scanner.py --no-exit-status

它评估：```text
CONFIG_FUSE_FS=y
CONFIG_FUSE_FS=m
CONFIG_FUSE_FS is not set

缺少 `/dev/fuse` 或 `fusermount3` 会降低当前环境中的即时可用性，但并不能证明内核已打补丁。

### 4. 页面大小几何结构

文档中记载的超大记录为 `4120` 字节。

当主机页面大小至少为 `4120` 字节时，文档中记载的记录不会跨越页面边界。扫描器可能报告系统在该文档记载的页面几何结构下不受影响。

该结论仅适用于文档中记载的记录以及被评估的实现行为。它并不是一种普遍性陈述，即所有 FUSE 内存安全问题在页面更大的系统上都不可能发生。

### 5. 已安装源代码检查

当已安装的源代码可用时，扫描器会搜索：```text
fs/fuse/readdir.c

当识别到某个软件包时，可以检查本地变更日志元数据中是否包含对应的 CVE ID 或补丁标题。

没有变更日志匹配并不能证明不存在漏洞。厂商并不总是会在本地安装的变更日志中列出每条 CVE 引用。

### 7. 上游版本比较

解析出的内核版本会与扫描器的固定基线表进行比较。

版本比较产生的是启发式结果，原因如下：

- 厂商内核可能包含反向移植补丁；
- 内核软件包的发布修订版本因发行版而异；
- 云、实时、加固及硬件启用内核可能有各自独立的补丁时间线；
- 版本字符串可能代表的是厂商维护的分支，而非未经修改的上游发布版本。

### 8. 软件包更新元数据

在支持的情况下，扫描器会对现有的本地元数据执行只读查询。

它不会刷新仓库。

示例：```text
apt list --upgradable
pacman -Qu
dnf --cacheonly --quiet check-upgrade
zypper --no-refresh list-patches --all --cve=CVE-2026-31694
apk version -l <

When `--no-exit-status` is specified, the scanner returns `0` after producing the report.

---

## Detection Sources

The scanner uses the following local sources where available:

| Source | Information |
|---|---|
| `/etc/os-release` | Distribution identity |
| `/usr/lib/os-release` | Distribution identity fallback |
| `/proc/version` | Kernel and WSL indicators |
| `/proc/config.gz` | Running-kernel configuration |
| `/boot/config-*` | Kernel configuration |
| `/lib/modules/*/build/.config` | Kernel build configuration |
| `/proc/filesystems` | Registered filesystems |
| `/proc/self/mountinfo` | Active FUSE mounts |
| `/proc/1/cgroup` | Container indicators |
| `/dev/fuse` | Device presence and permissions |
| `/usr/src/*/fs/fuse/readdir.c` | Optional source-level patch evidence |
| `/lib/modules` | Installed kernel inventory |
| `/usr/lib/modules` | Installed kernel inventory |
| `/boot/vmlinuz-*` | Installed kernel inventory |
| `/var/run/reboot-required` | Debian-family reboot indicator |
| package database | Kernel package ownership |
| package changelogs | Optional local backport evidence |
| package cache | Optional update availability evidence |

---

## Distribution Support

### Distribution-family detection

| Family | Recognized distributions |
|---|---|
| Ubuntu | Ubuntu, Linux Mint, Pop!_OS, elementary OS, Zorin OS |
| Debian | Debian, Kali Linux, Raspbian, Parrot OS |
| Arch | Arch Linux, Manjaro, Garuda Linux, EndeavourOS, CachyOS |
| Fedora | Fedora Linux |
| RHEL | RHEL, CentOS, Rocky Linux, AlmaLinux, Oracle Linux, Amazon Linux |
| SUSE | openSUSE Tumbleweed, openSUSE Leap, SLES, SLED |
| Alpine | Alpine Linux |
| Gentoo | Gentoo Linux |
| Void | Void Linux |
| NixOS | NixOS |
| Unknown | Generic Linux guidance |

### Local update-query support

| Family | Read-only update query |
|---|---|
| Debian/Ubuntu | `apt list --upgradable` |
| Arch | `pacman -Qu` |
| Fedora/RHEL | cached `dnf check-upgrade` |
| SUSE | cached CVE patch listing with `zypper` |
| Alpine | `apk version -l <` |
| Gentoo | Not implemented |
| Void | Not implemented |
| NixOS | Not implemented |
| Unknown | Not implemented |

The absence of a locally visible update does not mean a fixed package is unavailable. Repository metadata may be stale or the distribution may not yet have published a package.

---

## Mitigation Generation

Mitigation guidance is selected according to:

- distribution family;
- package manager;
- container or WSL status;
- FUSE configuration;
- `/dev/fuse` availability;
- active FUSE mounts;
- reboot state;
- final verdict.

The scanner prints commands but never executes them.

### Debian and Ubuntu family

Typical generated sequence:```bash
sudo apt update
sudo apt full-upgrade
sudo reboot

### Arch 和 Manjaro 家族

典型的生成序列：```bash
sudo pacman -Syu
sudo reboot

使用 `yum` 的系统可能会收到相应的 `yum` 命令。

### SUSE 系列

典型的生成序列：```bash
sudo zypper refresh
sudo zypper patch --cve=CVE-2026-31694
sudo zypper patch --category security
sudo systemctl reboot

权限前缀取决于扫描器是否找到 `sudo`、`doas`，或是否已经处于 root 会话。

### Gentoo Linux

典型的生成序列：```bash
sudo emaint sync -a
sudo emerge --ask --update --deep --newuse @world

### NixOS

典型生成的序列：```bash
sudo nixos-rebuild switch --upgrade
sudo systemctl reboot

等效的 Compose 配置也应进行审查：```yaml
devices:
  - /dev/fuse:/dev/fuse

cap_add:
  - SYS_ADMIN

privileged: true

从 Windows PowerShell 运行这些命令，重启发行版，然后重新运行扫描器。

仅使用 `apt`、`dnf` 或其他 Linux 包管理器更新 guest 软件包并不会替换 WSL 内核。

### 虚拟机

虚拟机通常拥有自己的 guest 内核。发行版特定的软件包与重启检查在 guest 内仍然适用。

hypervisor 宿主机应单独评估。

---

## 报告格式

### 文本

文本输出旨在供终端直接使用。```bash
python3 cve_2026_31694_scanner.py --format text

示例字段选择：```bash
python3 cve_2026_31694_scanner.py --format json --no-exit-status |
  python3 -c '
import json
import sys

report = json.load(sys.stdin)
print(report["hostname"])
print(report["verdict"])
print(report["confidence"])
print(report["kernel_release"])
'

### 仅缓解措施报告```bash
python3 cve_2026_31694_scanner.py \
  --mitigation-only \
  --format markdown

### 在不使任务失败的情况下收集报告```bash
python3 cve_2026_31694_scanner.py \
  --format json \
  --output /var/tmp/cve-2026-31694.json \
  --no-exit-status

这会覆盖相同的报告文件。当需要历史报告时，请使用包装脚本。

### Systemd 服务示例```ini
[Unit]
Description=Passive CVE-2026-31694 assessment
After=local-fs.target

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 /opt/security/cve_2026_31694_scanner.py --format json --output /var/log/cve-2026-31694.json --no-exit-status
NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/log

然后根据厂商公告核对确切的内核软件包。

### 重启验证

安装修复后的内核软件包不会更改当前正在执行的内核。

请同时核对已安装的内核和正在运行的内核，然后按需重启。

示例：```bash
uname -r
ls -1 /lib/modules

### FUSE 依赖项审查

在临时卸载或阻止 FUSE 之前：```bash
findmnt -t fuse,fuseblk,fusectl
lsmod | grep '^fuse'
ps aux | grep -E '[f]usermount|[s]shfs|[r]clone'

以及用于该确切内核的源包或构建目录。

### 过期的软件包元数据

扫描器不会刷新软件仓库。

软件包更新检查依赖于现有的本地缓存状态。

使用生成的分发特定刷新和升级命令，以获得最新的软件包决策。

### 容器

容器看到的是宿主内核，但通常具有不同的软件包元数据。

在宿主机上运行扫描器。

### WSL

Linux 客户机的软件包状态并不能决定 WSL 内核的补丁状态。

请从 Windows 更新 WSL。

### 自定义内核

自定义、嵌入式、设备、供应商和自行构建的内核可能没有软件包元数据或可识别的版本字符串。

请检查实际的源代码提交或供应商发布说明。

### 实时修补

扫描器不会判断实时修补框架是否已将这一特定修正应用于正在运行的内核。

请使用实时修补供应商的状态工具和公告数据。

### 安全启动和引导加载程序状态

扫描器不会验证：

- 引导加载程序下一步将选择哪个内核；
- Secure Boot 是否接受已安装的镜像；
- 是否生成了正确的 initramfs；
- 机器是否成功重启到预期的内核。

### 分布式文件系统和命名空间

扫描器评估当前进程的命名空间。

被命名空间隐藏的挂载点或设备访问可能不会出现在报告中。

---

## 故障排除

### `Kernel configuration could not be determined`

检查以下文件之一是否存在：```bash
ls -l /proc/config.gz
ls -l /boot/config-"$(uname -r)"
ls -l /lib/modules/"$(uname -r)"/build/.config

### 包更新查询报告无更新

使用生成的缓解指南刷新包元数据，然后重新运行扫描器。

被动扫描器不会自动刷新软件仓库。

### 安装更新后显示 `POTENTIALLY_VULNERABLE`

确认新内核正在运行：```bash
uname -r

可能仍需要重新启动。

另请查看供应商公告，因为修复后的反向移植版本可能与上游版本基线不一致。

### FUSE 已内置于内核中

当报告显示：```text
CONFIG_FUSE_FS=y

调整服务加固配置，使这些路径保持可读。

---

## 文件布局

推荐的项目布局：```text
cve-2026-31694-scanner/
├── README.md
└── cve_2026_31694_scanner.py

示例:```bash
sudo install -d -m 0755 /opt/security/cve-2026-31694

sudo install -m 0755 \
  cve_2026_31694_scanner.py \
  /opt/security/cve-2026-31694/

sudo install -m 0644 \
  README.md \
  /opt/security/cve-2026-31694/