A már idézett OpenSCAP nem, és azon el is bukik a szimpla noexec. :D
A CIS meg kb. a kukába való ezek alapján, ementáli marad a rendszer, lásd linkelt problémákat, amiről évek óta leveleznek a kernel listákon különféle patch-ek köldözgetésével. Nem tudok mást mondani, mint azt, hogy faszságot erőltetnek. Ha mást tudsz kihozni ebből, akkor komoly probléma van a valóságérzékeléseddel.