Linux软件漏洞修复最佳实践

修复漏洞需要考虑的因素

• 安全需求：

  在了解到漏洞带来的危害之后，您需要对资产进行补丁修复和加固，来满足您特定的安全需求。

• 稳定性：

  修复漏洞可能会需要在您的资产上运行代码或命令，可能会涉及到正在运行的应用或者操作系统核心组件的软件补丁，需要重启对应的应用或操作系统，这会对您的业务连续性造成一定的影响。对于生产环境，或者其他高稳定性要求的环境，您需要充分利用各种信息形成综合决策，最终决定修复哪些漏洞及修复漏洞的顺序。

云安全中心漏洞功能提供的信息

扫描漏洞

云安全中心所有版本均支持漏洞扫描功能，包括免费版。如果您未购买云安全中心付费版，可使用免费版扫描漏洞。更多信息，请参见云安全中心免费版简介。

在云安全中心控制台左侧导航栏，选择安全防范 > 漏洞修复，进入漏洞修复界面，默认会为您展示Linux软件漏洞下所有未处理的软件漏洞，如下图所示。如果您需要查看已处理或某个风险等级的漏洞，可在搜索框中选择对应搜索条件，单击搜索按钮。

如果您想要改变系统的漏洞扫描等级，可在漏洞修复页面右上角，单击漏洞管理设置，选择您需要的漏洞扫描等级。您只有在此处勾选了相应等级，才能在漏洞修复页面查看相应等级的漏洞。例如您只勾选了漏洞扫描等级中的高，在漏洞修复页面您只能查看漏洞等级为高的漏洞。

一个软件包漏洞在一定时期内的一批原因相似的漏洞，常常被发行版官方在同一个补丁中修复，大部分补丁对应于一个固定的公告号码，在漏洞修复页面，您可以看到我们将这些漏洞以漏洞公告的维度进行了聚合展示。

漏洞公告标题格式

红帽旗下系列发行版，如Redhat Enterprise Linux、CentOS的公告均以RHSA开头；Canonical旗下发行版，Ubuntu的公告以USN开头。公告中均会标识出漏洞涉及的软件名。其中红帽的公告中，也会显示一个重要等级，此为红帽为公告指定的等级，云安全中心在计算漏洞修复紧急度时也纳入了对这个因素的考虑。

漏洞公告标签

对每个漏洞公告中的漏洞的特点，我们进行了自动标记，并且将每个公告相关的漏洞的特征作为该公告的标签展示在公告旁边。

当前展示的标签总共有五种：需要重启、存在EXP、代码执行、本地提权、远程利用。

当您单击进入某一条漏洞公告后，可以看到如下界面。

查看漏洞公告涉及的CVE信息

关注漏洞细节的用户可以通过单击具体CVE名称（上图①位置）查看CVE的技术详情。

查看漏洞详情

您可以通过在漏洞操作列单击详情（上图②位置）查看该漏洞为什么会被检测到。

查看漏洞关联进程

单击关联进程操作栏下的三角形图标（上图③位置）。您可以查看该漏洞涉及的软件包是否已经被您机器上所运行的进程加载，以及对应的加载关系。

• 三角形图标呈灰色：代表该漏洞涉及的软件没有被任何进程加载。
• 三角形图标呈蓝色：您可以单击该图标查看进程加载关系。

漏洞修复

在云安全中心控制台漏洞详情页，对漏洞进行处理。支持批量修复漏洞。

仅高级版、企业版和旗舰版支持漏洞修复功能。免费版用户可以申请旗舰版7天免费试用，使用漏洞修复功能。试用申请成功后，7天内您可以在云安全中心控制台修复漏洞，超过7天后，将无法使用漏洞修复功能。申请试用的具体操作，请参见开通免费试用。免费版用户需满足以下条件才能申请免费试用。

• 云安全中心免费版用户。

  未购买过云安全中心付费版服务（包括防病毒版、高级版、企业版和旗舰版）的阿里云账号默认为云安全中心免费版用户。免费版无需开通，默认所有阿里云账号都可以直接使用云安全中心的免费版。

  说明 如果您之前购买过付费版服务，但是服务到期后未续费，您的付费版将自动变成免费版。由于您已购买过云安全中心服务，此种情况下，您无法开通免费试用。
• 未参加过云安全中心7天免费试用活动。
• 至少有一台阿里云ECS服务器。

后续操作

漏洞修复完成后需要进行验证，才能显示该漏洞已修复成功。

对于内核一类的Linux漏洞，漏洞修复完成后，还需根据提示对系统进行重启。重启后漏洞修复才会生效。