Centos7系统安全漏洞及修复方案

以下所有漏洞均为Centos7的系统漏洞修复，为离线内网环境；

某些服务由Docker镜像部署；

此博客内容会根据实际环境出的漏洞检测报告，持续更新。

一. 内网升级服务及命令版本方法

1. 内网环境，无法使用yum命令 —— 则离线升级安装rpm包
2. Centos的rpm包地址（大多数包可在这找到）：CentOS Mirror
3. 若是包版本不全，可使用此博客的4.1方法下载安装升级包：Docker系列之二：离线安装docker_sara的博客-CSDN博客_docker离线安装

升级软件包命令：rpm会自动卸载相应软件包的旧版本

rpm -Uvh *.rpm
// * 指代rpm包的名字
// 此命令是离线升级安装软件包，若有网，则可以直接使用yum命令

如果旧版软件的配置文件和新版本的不兼容，rpm会自动将其保存为另一个文件，可以看到以下相关信息：

// 例如：
rpm -Uvh example.rpm

saving /etc/example.conf as /etc/example.conf.rpmsave

这样用户可以手动修改相应的配置文件。

若用户需要安装旧版的软件，则会看到以下的报错提示信息：

// 例如：
rpm -Uvh example.rpm

example package example-2.0-1(which is newer) is already installed

二. 升级相关软件包

1.  CentOS 7 : bash (CESA-2020:1113)

补丁描述	Bash是为GNU计划而编写的一个Shell（命令语言解释器）。 Bash中存在安全漏洞，可以在受限模式（rbash）中通过将它们添加到BASH_CMDS数组调用包含斜杠的命令。
修复建议	升级相关软件包到最新修复版本。漏洞修复后无需重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y bash
验证信息	bash 当前安装版本:4.2.46-33.el7 补丁修复版本:4.2.46-34.el7

rpm -Uvh bash-4.2.46-34.el7.x86_64.rpm

2. CentOS 7 : curl (CESA-2020:3916)

补丁描述	Haxx libcurl是瑞典Haxx公司的一个免费、开源的客户端URL传输库。该库支持FTP、FTPS、TFTP、HTTP等。 Haxx libcurl中存在缓冲区错误漏洞。该漏洞源于网络系统或产品在内存上执行操作时，未正确验证数据边界，导致向关联的其他内存位置上执行了错误的读写操作。攻击者可利用该漏洞导致缓冲区溢出或堆溢出等。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y curl libcurl
验证信息	curl 当前安装版本:7.29.0-54.el7_7.2 补丁修复版本:7.29.0-59.el7 libcurl 当前安装版本:7.29.0-54.el7_7.2 补丁修复版本:7.29.0-59.el7

rpm -Uvh curl-7.29.0-59.el7_9.1.x86_64.rpm libcurl-7.29.0-59.el7_9.1.x86_64.rpm 

3. CentOS 7 : expat (CESA-2020:1011)

补丁描述	expat中存在缓冲区溢出漏洞。远程攻击者可通过提供 大量压缩的XML数据利用该漏洞执行任意代码。
修复建议	升级相关软件到最新修复版本。漏洞修复后无需重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y expat
验证信息	expat 当前安装版本:2.1.0-10.el7_3 补丁修复版本:2.1.0-11.el7

CentOS 7 : expat (CESA-2020:3952) 

补丁描述	libexpat是一款使用C语言编写的流式XML解析器。libexpat中存在代码问题漏洞。该漏洞源于网络系统或产品的代码开发过程中存在设计或实现不当的问题。存在安全漏洞。攻击者可借助XML名称中带有大量冒号的XML输入，利用该漏洞造成拒绝服务（消耗大量RAM及CPU资源）。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y expat
验证信息	expat 当前安装版本:2.1.0-10.el7_3 补丁修复版本:2.1.0-12.el7

rpm -Uvh expat-2.1.0-12.el7.x86_64.rpm

4. CentOS 7 : gettext (CESA-2020:1138)

补丁描述	gettext错误地处理了某些消息，攻击者可能利用此问题来执行任意代码。
修复建议	升级相关软件包到最新修复版本。漏洞修复后无需重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y gettext-libs gettext
验证信息	gettext-libs 当前安装版本:0.19.8.1-2.el7 补丁修复版本:0.19.8.1-3.el7 gettext 当前安装版本:0.19.8.1-2.el7 补丁修复版本:0.19.8.1-3.el7

rpm -Uvh gettext-0.19.8.1-3.el7.x86_64.rpm gettext-libs-0.19.8.1-3.el7.x86_64.rpm

5. CentOS 7 : glib2 and ibus (CESA-2020:3978)

补丁描述	GNOME Glib是一套用于创建图形用户界面的多平台工具包，是GTK+和GNOME工程的基础底层核心程序库。 GNOME Glib中存在授权问题漏洞。该漏洞源于网络系统或产品中缺少身份验证措施或身份验证强度不足。ibus是一款适用于Linux/Unix平台的输入框架。 ibus存在安全漏洞。该漏洞源于Dbus服务器设置中存在不正确的配置。本地攻击者可利用该漏洞拦截受影响用户的全部击键，修改输入方法引擎或修改其他用户与输入相关的配置。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y glib2
验证信息	glib2 当前安装版本:2.56.1-5.el7 补丁修复版本:2.56.1-7.el7

rpm -Uvh glib2-2.56.1-7.el7.x86_64.rpm

6. CentOS 7 : kernel (CESA-2020:0839)

补丁描述	Linux kernel是美国Linux基金会发布的开源操作系Linux所使用的内核。 Linux kernel中存在缓冲区错误漏洞。该漏洞源于网络系统或产品在内存上执行操作时，未正确验证数据边界，导致向关联的其他内存位置上执行了错误的读写操作。攻击者可利用该漏洞导致缓冲区溢出或堆溢出等。 Linux kernel中存在安全漏洞。攻击者可利用该漏洞获取敏感信息。
修复建议	可升级相关软件包到最新修复版本。内核补丁修复可能存在风险，修复需谨慎，建议测试验证无误后进行升级操作。系统重启。
修复命令	sudo yum update -y kernel
验证信息	kernel 当前安装版本:3.10.0-1062.12.1.el7 补丁修复版本:3.10.0-1062.18.1.el7

CentOS 7 : kernel (CESA-2020:1016) 

补丁描述	Linux kernel是美国Linux基金会发布的开源操作系统Linux所使用的内核。 Linux kernel 中存在多个安全漏洞，攻击者可利用这些漏洞导致缓冲区溢出、堆溢出拒绝服务或执行任意代码等。
修复建议	可升级相关软件包到最新修复版本。内核补丁修复可能存在风险，修复需谨慎，建议测试验证无误后进行升级操作。系统重启。
修复命令	sudo yum update -y python-perf kernel
验证信息	python-perf 当前安装版本:3.10.0-1062.18.1.el7 补丁修复版本:3.10.0-1127.el7 kernel 当前安装版本:3.10.0-1062.12.1.el7 补丁修复版本:3.10.0-1127.el7

CentOS 7 : kernel (CESA-2021:0856)

补丁描述	Linux中存在多个安全漏洞，攻击者可使用这些漏洞导致信息泄露、拒绝服务等。恶意USB设备可能导致多个越界写入；在pinctrl子系统中越界读取；性能计数器争用情况释放后使用；net / netfilter / nf_conntrack_netlink.c中的ctnetlink_parse_tuple_filter中的本地缓冲区溢出；两个Geneve端点之间的Geneve / IPsec通信可能未加密；在vt_do_kdgkb_ioctl中读取后释放后使用；ICMP速率限制可用于DNS中毒攻击；SCSI目标（LIO）写入ILO后台存储上的任何块；drivers / tty / tty_jobctrl.c中的锁定问题可能导致释放后使用；drivers / gpu / drm / i915 / i915_gem_gtt.c中的i915_ppgtt_close免费使用；平板泄漏增加导致DDoS。
修复建议	升级相关软件包到最新修复版本。内核补丁修复可能存在风险，修复需谨慎，建议测试验证无误后进行升级操作。漏洞修复后系统重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y kernel python-perf
验证信息	kernel 当前安装版本:3.10.0-1160.15.2.el7 补丁修复版本:3.10.0-1160.21.1.el7 python-perf 当前安装版本:3.10.0-1160.15.2.el7 补丁修复版本:3.10.0-1160.21.1.el7

CentOS 7 : kernel (CESA-2021:1071)

补丁描述	Linux内核中发现了一个问题。kernel/bpf/verifier.c在指针算术上执行了不希望的越界推测，从而导致侧信道攻击，这种攻击破坏了Spectre缓解措施，并从内核内存（即CID-f232326f6966）获得敏感信息。这会影响未定义ptr_limit的指针类型。
修复建议	升级相关软件包到最新修复版本。内核补丁修复可能存在风险，修复需谨慎，建议测试验证无误后进行升级操作。漏洞修复后系统重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y kernel python-perf
验证信息	kernel 当前安装版本:3.10.0-1160.15.2.el7 补丁修复版本:3.10.0-1160.24.1.el7 python-perf 当前安装版本:3.10.0-1160.15.2.el7 补丁修复版本:3.10.0-1160.24.1.el7

rpm -Uvh kernel-3.10.0-1160.24.1.el7.x86_64.rpm python-perf-3.10.0-1160.24.1.el7.x86_64.rpm

7. CentOS 7 : libpng (CESA-2020:3901)

补丁描述	libpng是一个可对PNG图形文件实现创建、读写等操作的PNG参考库。 libpng中存在安全漏洞。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y libpng
验证信息	libpng 当前安装版本:1.5.13-7.el7_2 补丁修复版本:1.5.13-8.el7

rpm -Uvh libpng-1.5.13-8.el7.x86_64.rpm

8. CentOS 7 : nss and nspr (CESA-2020:4076)

补丁描述	Network Security Services（NSS）是一套用于跨平台开发且启用了安全功能的客户端和服务器应用的库，用NSS编译的应用可支持SSLv2、SSLv3、TLS等安全标准。 Mozilla Firefox中的Network Security Services库存在缓冲区错误漏洞。攻击者可利用该漏洞泄露信息。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y nss-util nss nss-tools nss-softokn nss-softokn-freebl nspr nss-sysinit
验证信息	nss-util 当前安装版本:3.44.0-4.el7_7 补丁修复版本:3.53.1-1.el7_9 nss 当前安装版本:3.44.0-7.el7_7 补丁修复版本:3.53.1-3.el7_9 nss-tools 当前安装版本:3.44.0-7.el7_7 补丁修复版本:3.53.1-3.el7_9 nss-softokn 当前安装版本:3.44.0-8.el7_7 补丁修复版本:3.53.1-6.el7_9 nss-softokn-freebl 当前安装版本:3.44.0-8.el7_7 补丁修复版本:3.53.1-6.el7_9 nspr 当前安装版本:4.21.0-1.el7 补丁修复版本:4.25.0-2.el7_9 nss-sysinit 当前安装版本:3.44.0-7.el7_7 补丁修复版本:3.53.1-3.el7_9

rpm -Uvh nss-softokn-freebl-3.53.1-6.el7_9.x86_64.rpm nss-tools-3.53.1-3.el7_9.x86_64.rpm nss-util-3.53.1-1.el7_9.x86_64.rpm nss-softokn-3.53.1-6.el7_9.x86_64.rpm nss-sysinit-3.53.1-3.el7_9.x86_64.rpm nss-3.53.1-3.el7_9.x86_64.rpm nspr-4.25.0-2.el7_9.x86_64.rpm

9. CentOS 7 : rsyslog (CESA-2020:1000)

补丁描述	Rsyslog是一个用于收集系统日志的库。Rsyslog中存在 缓冲区错误漏洞。远程攻击者可利用该漏洞在系统上执行任意代码或造成应用程序崩溃。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y rsyslog
验证信息	rsyslog 当前安装版本:8.24.0-41.el7_7.4 补丁修复版本:8.24.0-52.el7

rpm -Uvh rsyslog-8.24.0-55.el7.x86_64.rpm

10. CentOS 7 : bind (CESA-2020:1061)

补丁描述	ISC BIND是广泛应用的域名服务器软件。 包含"deny-answer-aliases"功能的bind版本中存在拒绝服务漏洞，可能允许远程攻击者在命名中触发INSIST断言，从而导致进程终止和拒绝服务。 bind没有充分地限制TCP客户端同时连接的个数。攻击者可利用该漏洞耗尽文件描述符，影响网络连接和文件管理。 bind与"managed-keys"功能一起使用时，不正确的处理了某些信任锚，远程攻击者可能会利用此问题导致Bind崩溃，从而导致拒绝服务。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y bind-libs bind-license bind-export-libs bind bind-libs-lite
验证信息	bind-libs 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7 bind-license 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7 bind-export-libs 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7 bind 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7 bind-libs-lite 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7

CentOS 7 : bind (CESA-2020:2344)

补丁描述	ISC BIND是美国ISC公司的一套实现了DNS协议的开源软件。 ISC BIND中存在资源管理错误漏洞。该漏洞源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的管理不当。 ISC BIND中存在安全漏洞。远程攻击者可利用该漏洞导致拒绝服务。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y bind-libs bind-license bind-export-libs bind bind-libs-lite
验证信息	bind-libs 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7 bind-license 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7 bind-export-libs 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7 bind 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7 bind-libs-lite 当前安装版本:9.11.4-9.P2.el7 补丁修复版本:9.11.4-16.P2.el7

rpm -Uvh bind-9.11.4-26.P2.el7.x86_64.rpm bind-license-9.11.4-26.P2.el7.noarch.rpm bind-license-9.11.4-26.P2.el7.noarch.rpm bind-export-libs-9.11.4-26.P2.el7.x86_64.rpm bind-libs-lite-9.11.4-26.P2.el7.x86_64.rpm

11. CentOS 7 : grub2 (CESA-2020:3217)

补丁描述	grub2是GNU计划的一款Linux系统引导程序。GRUB2中存在多个整数溢出，从而导致基于堆的缓冲区溢出。本地攻击者可以利用它们执行任意代码并绕过UEFI安全启动限制。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要系统重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y grub2-pc-modules grub2-tools-minimal grub2-pc grub2-tools-extra grub2-tools grub2-common grub2
验证信息	grub2-pc-modules 当前安装版本:2.02-0.80.el7.centos 补丁修复版本:2.02-0.86.el7.centos grub2-tools-minimal 当前安装版本:2.02-0.80.el7.centos 补丁修复版本:2.02-0.86.el7.centos grub2-pc 当前安装版本:2.02-0.80.el7.centos 补丁修复版本:2.02-0.86.el7.centos grub2-tools-extra 当前安装版本:2.02-0.80.el7.centos 补丁修复版本:2.02-0.86.el7.centos grub2-tools 当前安装版本:2.02-0.80.el7.centos 补丁修复版本:2.02-0.86.el7.centos grub2-common 当前安装版本:2.02-0.80.el7.centos 补丁修复版本:2.02-0.86.el7.centos grub2 当前安装版本:2.02-0.80.el7.centos 补丁修复版本:2.02-0.86.el7.centos

rpm -Uvh grub2-pc-modules-2.02-0.86.el7.centos.noarch.rpm grub2-tools-minimal-2.02-0.86.el7.centos.x86_64.rpm grub2-pc-2.02-0.86.el7.centos.x86_64.rpm grub2-tools-extra-2.02-0.86.el7.centos.x86_64.rpm grub2-tools-2.02-0.86.el7.centos.x86_64.rpm grub2-common-2.02-0.86.el7.centos.noarch.rpm grub2-2.02-0.86.el7.centos.x86_64.rpm

12. CentOS 7 : wpa_supplicant (CESA-2021:0808)

补丁描述	wpa_supplicant中的p2p / p2p_pd.c如何处理P2P（Wi-Fi Direct）供应发现请求中发现了一个漏洞。对于无线电范围内的攻击者，这可能导致拒绝服务或其他影响（可能执行任意代码）。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y wpa_supplicant
验证信息	wpa_supplicant 当前安装版本:2.6-12.el7 补丁修复版本:2.6-12.el7_9.2

rpm -Uvh wpa_supplicant-2.6-12.el7_9.2.x86_64.rpm

13. CentOS 7 : subversion (CESA-2020:3972)

补丁描述	Apache Subversion是美国阿帕奇（Apache）软件基金会的一套开源的版本控制系统。该系统可兼容并发版本系统(CVS)。svnserve servers是其中的一个轻量级的独立服务器。 Apache Subversion svnserve servers中存在安全漏洞。攻击者可利用该漏洞造成svnserve server进程退出，导致拒绝服务。
修复建议	升级相关软件包到最新修复版本。漏洞修复后需要服务重启。建议业务不繁忙时修复。
修复命令	sudo yum update -y subversion subversion-libs
验证