阿里云漏洞修复RHSA-2018:0169: kernel security and bug fix update

基本信息

CVE-2017-11176 严重

标题: Linux kernel ‘mq_notify’内存错误引用漏洞

披露时间: 2017-07-11 00:00:00

CVEID: CVE-2017-11176

简介:
Linux kernel是美国Linux基金会发布的操作系统Linux所使用的内核。

Linux kernel 4.11.9及之前的版本中的’mq_notify’函数存在安全漏洞。攻击者可利用该漏洞造成拒绝服务。

解决方案:
请直接在漏洞处理页面,选择对应服务器和漏洞,生成修复命令后,登录到服务器上运行即可。


解决步骤

  1. 升级内核版本
    [root@CYBSERVER_HK ~]# uname -r
    2.6.32-696.16.1.el6.x86_64
    [root@CYBSERVER_HK ~]#rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org
    [root@CYBSERVER_HK ~]#rpm -Uvh http://www.elrepo.org/elrepo-release-6-8.el6.elrepo.noarch.rpm #安装yum源
    ...
    Installed:
      kernel-lt.x86_64 0:4.4.101-1.el6.elrepo
    
    Complete!
    
  2. 修改GRUB启动顺序

    [root@CYBSERVER_HK ~]#vim /etc/grub.conf #将默认启动顺序default修改为0 ,default=0

        # grub.conf generated by anaconda
        #
        # Note that you do not have to rerun grub after making changes to this file
        # NOTICE:  You do not have a /boot partition.  This means that
        #  all kernel and initrd paths are relative to /, eg.
        #  root (hd0,0)
        #  kernel /boot/vmlinuz-version ro root=/dev/xvda1
        #  initrd /boot/initrd-[generic-]version.img
        #boot=/dev/xvda
        default=0
        title CentOS (4.4.135-1.el6.elrepo.i686)
            root (hd0,0)
            kernel /boot/vmlinuz-4.4.135-1.el6.elrepo.i686 ro root=UUID=e76a7b8d-20c2-4f94-bdd1-f4054a34c206 rd_NO_LUKS rd_NO_LVM LANG=en_US.UTF-8 rd_NO_MD SYSFONT=latarcyrheb-sun16 crashkernel=auto  KEYBOARDTYPE=pc KEYTABLE=us rd_NO_DM rhgb quiet
    
  3. 重启并查看内核版本
    [root@CYBSERVER_HK ~]# reboot
    [root@CYBSERVER_HK ~]# uname -r
    4.4.135-1.el6.elrepo.i686
    
  4. 升级kernel-devel version,kernel-headers version,kernel-doc version
    [root@CYBSERVER_HK ~]# yum check-update
    [root@CYBSERVER_HK ~]# yum update
    [root@CYBSERVER_HK ~]# yum --enablerepo=elrepo-kernel install kernel-lt-headers -y
    [root@CYBSERVER_HK ~]# yum --enablerepo=elrepo-kernel install kernel-lt-devel -y
    [root@CYBSERVER_HK ~]# yum --enablerepo=elrepo-kernel install kernel-lt-doc -y
    

rpm命令参考

rpm命令是RPM软件包的管理工具。rpm原本是Red Hat Linux发行版专门用来管理Linux各项套件的程序,由于它遵循GPL规则且功能强大方便,因而广受欢迎。逐渐受到其他发行版的采用。RPM套件管理方式的出现,让Linux易于安装,升级,间接提升了Linux的适用度。

语法

rpm(选项)(参数)

选项

-a:查询所有套件;
-b<完成阶段><套件档>+或-t <完成阶段><套件档>+:设置包装套件的完成阶段,并指定套件档的文件名称;
-c:只列出组态配置文件,本参数需配合"-l"参数使用;
-d:只列出文本文件,本参数需配合"-l"参数使用;
-e<套件档>或--erase<套件档>:删除指定的套件;
-f<文件>+:查询拥有指定文件的套件;
-h或--hash:套件安装时列出标记;
-i:显示套件的相关信息;
-i<套件档>或--install<套件档>:安装指定的套件档;
-l:显示套件的文件列表;
-p<套件档>+:查询指定的RPM套件档;
-q:使用询问模式,当遇到任何问题时,rpm指令会先询问用户;
-R:显示套件的关联性信息;
-s:显示文件状态,本参数需配合"-l"参数使用;
-U<套件档>或--upgrade<套件档>:升级指定的套件档;
-v:显示指令执行过程;
-vv:详细显示指令执行过程,便于排错。

参数

软件包:指定要操纵的rpm软件包。

实例

如何安装rpm软件包

rpm软件包的安装可以使用程序rpm来完成。执行下面的命令:

rpm -ivh your-package.rpm

其中your-package.rpm是你要安装的rpm包的文件名,一般置于当前目录下。

安装过程中可能出现下面的警告或者提示:

... conflict with ...

可能是要安装的包里有一些文件可能会覆盖现有的文件,缺省时这样的情况下是无法正确安装的可以用rpm –force -i强制安装即可

... is needed by ...
... is not installed ...

此包需要的一些软件你没有安装可以用rpm –nodeps -i来忽略此信息,也就是说rpm -i –force –nodeps可以忽略所有依赖关系和文件问题,什么包都能安装上,但这种强制安装的软件包不能保证完全发挥功能。

如何安装.src.rpm软件包

有些软件包是以.src.rpm结尾的,这类软件包是包含了源代码的rpm包,在安装时需要进行编译。这类软件包有两种安装方法:

方法一:
rpm -i your-package.src.rpm
cd /usr/src/redhat/SPECS
rpmbuild -bp your-package.specs             #一个和你的软件包同名的specs文件
cd /usr/src/redhat/BUILD/your-package/      #一个和你的软件包同名的目录
./configure                                 #这一步和编译普通的源码软件一样,可以加上参数
make
make install
方法二:
rpm -i you-package.src.rpm
cd /usr/src/redhat/SPECS

前两步和方法一相同

rpmbuild -bb your-package.specs       #一个和你的软件包同名的specs文件

这时在/usr/src/redhat/RPM/i386/(根据具体包的不同,也可能是i686,noarch等等)在这个目录下,有一个新的rpm包,这个是编译好的二进制文件。

执行rpm -i new-package.rpm即可安装完成。

如何卸载rpm软件包

使用命令rpm -e包名,包名可以包含版本号等信息,但是不可以有后缀.rpm,比如卸载软件包proftpd-1.2.8-1,可以使用下列格式:

rpm -e proftpd-1.2.8-1
rpm -e proftpd-1.2.8
rpm -e proftpd-
rpm -e proftpd

不可以是下列格式:

rpm -e proftpd-1.2.8-1.i386.rpm
rpm -e proftpd-1.2.8-1.i386
rpm -e proftpd-1.2
rpm -e proftpd-1

有时会出现一些错误或者警告:

... is needed by ...

这说明这个软件被其他软件需要,不能随便卸载,可以用rpm -e –nodeps强制卸载

如何不安装但是获取rpm包中的文件

使用工具rpm2cpio和cpio

rpm2cpio xxx.rpm | cpio -vi
rpm2cpio xxx.rpm | cpio -idmv
rpm2cpio xxx.rpm | cpio --extract --make-directories

参数i和extract相同,表示提取文件。v表示指示执行进程,d和make-directory相同,表示根据包中文件原来的路径建立目录,m表示保持文件的更新时间。

如何查看与rpm包相关的文件和其他信息

下面所有的例子都假设使用软件包mysql-3.23.54a-11

  1. 我的系统中安装了那些rpm软件包。

    rpm -qa 讲列出所有安装过的包
    如果要查找所有安装过的包含某个字符串sql的软件包

    rpm -qa | grep sql

  2. 如何获得某个软件包的文件全名。

    rpm -q mysql

    可以获得系统中安装的mysql软件包全名,从中可以获得当前软件包的版本等信息。这个例子中可以得到信息mysql-3.23.54a-11

  3. 一个rpm包中的文件安装到那里去了?

    rpm -ql 包名

    注意这里的是不包括.rpm后缀的软件包的名称,也就是说只能用mysql或者mysql-3.23.54a-11而不是mysql-3.23.54a-11.rpm。如果只是想知道可执行程序放到那里去了,也可以用which,比如:
    which mysql

  4. 一个rpm包中包含那些文件。

    一个没有安装过的软件包,使用rpm -qlp ****.rpm

    一个已经安装过的软件包,还可以使用rpm -ql ****.rpm

  5. 如何获取关于一个软件包的版本,用途等相关信息?

    一个没有安装过的软件包,使用rpm -qip ****.rpm
    一个已经安装过的软件包,还可以使用rpm -qi ****.rpm

  6. 某个程序是哪个软件包安装的,或者哪个软件包包含这个程序。
    rpm -qf `which 程序名`    #返回软件包的全名
    rpm -qif `which 程序名`   #返回软件包的有关信息
    rpm -qlf `which 程序名`   #返回软件包的文件列表
    

    注意,这里不是引号,而是`,就是键盘左上角的那个键。也可以使用rpm -qilf,同时输出软件包信息和文件列表。

  7. 某个文件是哪个软件包安装的,或者哪个软件包包含这个文件。

    注意,前一个问题中的方法,只适用与可执行的程序,而下面的方法,不仅可以用于可执行程序,也可以用于普通的任何文件。前提是知道这个文件名。首先获得这个程序的完整路径,可以用whereis或者which,然后使用rpm -qf例如:

    whereis ftptop
    ftptop: /usr/bin/ftptop /usr/share/man/man1/ftptop.1.gz
    
    rpm -qf /usr/bin/ftptop
    proftpd-1.2.8-1
    
    rpm -qf /usr/share/doc/proftpd-1.2.8/rfc/rfc0959.txt
    proftpd-1.2.8-1

 

linux yum 命令

引用自:li1121567428 ( http://www.runoob.com/linux/linux-yum.html)

yum( Yellow dog Updater, Modified)是一个在Fedora和RedHat以及SUSE中的Shell前端软件包管理器。

基於RPM包管理,能够从指定的服务器自动下载RPM包并且安装,可以自动处理依赖性关系,并且一次安装所有依赖的软体包,无须繁琐地一次次下载、安装。

yum提供了查找、安装、删除某一个、一组甚至全部软件包的命令,而且命令简洁而又好记。

yum 语法

yum [options] [command] [package ...]
  • options:可选,选项包括-h(帮助),-y(当安装过程提示选择全部为”yes”),-q(不显示安装的过程)等等。
  • command:要进行的操作。
  • package操作的对象。

yum常用命令

  • 1.列出所有可更新的软件清单命令:yum check-update
  • 2.更新所有软件命令:yum update
  • 3.仅安装指定的软件命令:yum install
  • 4.仅更新指定的软件命令:yum update
  • 5.列出所有可安裝的软件清单命令:yum list
  • 6.删除软件包命令:yum remove
  • 7.查找软件包 命令:yum search
  • 8.清除缓存命令:
    • yum clean packages: 清除缓存目录下的软件包
    • yum clean headers: 清除缓存目录下的 headers
    • yum clean oldheaders: 清除缓存目录下旧的 headers
    • yum clean, yum clean all (= yum clean packages; yum clean oldheaders) :清除缓存目录下的软件包及旧的headers

实例 1

安装 pam-devel

[root@www ~]# yum install pam-devel
Setting up Install Process
Parsing package install arguments
Resolving Dependencies  <==先检查软件的属性相依问题
--> Running transaction check
---> Package pam-devel.i386 0:0.99.6.2-4.el5 set to be updated
--> Processing Dependency: pam = 0.99.6.2-4.el5 for package: pam-devel
--> Running transaction check
---> Package pam.i386 0:0.99.6.2-4.el5 set to be updated
filelists.xml.gz          100% |=========================| 1.6 MB    00:05
filelists.xml.gz          100% |=========================| 138 kB    00:00
-> Finished Dependency Resolution
……(省略)

实例 2

移除 pam-devel

[root@www ~]# yum remove pam-devel
Setting up Remove Process
Resolving Dependencies  <==同样的,先解决属性相依的问题
--> Running transaction check
---> Package pam-devel.i386 0:0.99.6.2-4.el5 set to be erased
--> Finished Dependency Resolution

Dependencies Resolved

=============================================================================
 Package                 Arch       Version          Repository        Size
=============================================================================
Removing:
 pam-devel               i386       0.99.6.2-4.el5   installed         495 k

Transaction Summary
=============================================================================
Install      0 Package(s)
Update       0 Package(s)
Remove       1 Package(s)  <==还好,并没有属性相依的问题,单纯移除一个软件

Is this ok [y/N]: y
Downloading Packages:
Running rpm_check_debug
Running Transaction Test
Finished Transaction Test
Transaction Test Succeeded
Running Transaction
  Erasing   : pam-devel                    ######################### [1/1]

Removed: pam-devel.i386 0:0.99.6.2-4.el5
Complete!

实例 3

利用 yum 的功能,找出以 pam 为开头的软件名称有哪些?

[root@www ~]# yum list pam*
Installed Packages
pam.i386                  0.99.6.2-3.27.el5      installed
pam_ccreds.i386           3-5                    installed
pam_krb5.i386             2.2.14-1               installed
pam_passwdqc.i386         1.0.2-1.2.2            installed
pam_pkcs11.i386           0.5.3-23               installed
pam_smb.i386              1.1.7-7.2.1            installed
Available Packages <==底下则是『可升级』的或『未安装』的
pam.i386                  0.99.6.2-4.el5         base
pam-devel.i386            0.99.6.2-4.el5         base
pam_krb5.i386             2.2.14-10              base

国内 yum 源

网易(163)yum源是国内最好的yum源之一 ,无论是速度还是软件版本,都非常的不错。

将yum源设置为163 yum,可以提升软件包安装和更新的速度,同时避免一些常见软件版本无法找到。

安装步骤

首先备份/etc/yum.repos.d/CentOS-Base.repo

mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup

下载对应版本 repo 文件, 放入 /etc/yum.repos.d/ (操作前请做好相应备份)

  • CentOS5 :http://mirrors.163.com/.help/CentOS5-Base-163.repo
  • CentOS6 :http://mirrors.163.com/.help/CentOS6-Base-163.repo
  • CentOS7 :http://mirrors.163.com/.help/CentOS7-Base-163.repo
wget http://mirrors.163.com/.help/CentOS6-Base-163.repo
mv CentOS6-Base-163.repo CentOS-Base.repo

运行以下命令生成缓存

yum clean all
yum makecache

除了网易之外,国内还有其他不错的 yum 源,比如中科大和搜狐。

中科大的 yum 源,安装方法查看:https://lug.ustc.edu.cn/wiki/mirrors/help/centos

sohu 的 yum 源安装方法查看: http://mirrors.sohu.com/help/centos.html

1 篇笔记

  1.  

       li1121567428

      li1***567428@live.com

    配置本地Yum仓库

    实现此案例需要按照如下步骤进行。

    步骤一:搭建一个本地Yum,将RHEL6光盘手动挂载到/media

    命令操作如下所示:

    [root@localhost ~]# mount /dev/cdrom /media/
    mount: block device /dev/sr0 is write-protected, mounting read-only
    [root@localhost ~]# mount | tail -1
    /dev/sr0 on /media type iso9660 (ro)

    步骤二:将本地设置为客户端,进行Yum验证

    Yum客户端需编辑配置文件,命令操作如下所示:

    [root@localhost ~]# cd /etc/yum.repos.d/         //必须在这个路径下
    [root@localhost yum.repos.d]# ls                  //此路径下事先有配置文件的模板
    rhel-source.repo
    
    [root@localhost yum.repos.d]# cp rhel-source.repo rhel6.repo //配置文件必须以.repo结尾
    [root@localhost yum.repos.d]# vim rhel6.repo
    [rhel-6]                                     //中括号里内容要求唯一,但不要出现特殊字符
    name=Red Hat Enterprise Linux 6           //此为描述信息,可以看情况填写
    baseurl=file:///media/                     //此项为yum软件仓库位置,指向光盘挂载点
    enabled=1                                   //此项为是否开启,1为开启0为不开启
    gpgcheck=1                                  //此项为是否检查签名,1为监测0为不检测
    gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release  //签名认证信息的路径
    
    [root@localhost /]# yum repolist
    Loaded plugins: product-id, refresh-packagekit, security, subscription-manager
    This system is not registered to Red Hat Subscription Management. You can use subscription-manager to register.
    rhel-6                                            | 3.9 kB     00:00 ... 
    rhel-6/primary_db                                  | 3.1 MB     00:00 ... 
    repo id             repo name                                     status
    rhel-6              Red Hat Enterprise Linux 6                    3,690
    repolist: 3,690