内核漏洞怎么自查
内核漏洞大多是提权或容器逃逸类，危害高而修复路径单一：更新内核并重启。自查的关键是确认正在运行的内核是否已包含发行版针对该漏洞的修复。判断依据要以发行版勘误公告里的完整包版本与构建日期为准，不能只看主版本号——同一主版本里，不同构建日期对应的补丁状态完全不同。
基本信息
| 适用平台 | Linux |
|---|---|
| 风险等级 | 高 |
| 基线要求 | 运行内核不含未修复的高危 CVE |
| 判断依据 | 发行版勘误公告的包版本与构建日期 |
| 修复路径 | 更新内核后重启 |
| 核查命令 | uname -r 与包管理器查询 |
典型使用场景
- 收到内核提权漏洞通告后的自查
- 内核漏洞评估后规划重启窗口
- 补丁合规检查中确认内核修复真的生效
- 容器宿主机优先核查，逃逸类漏洞影响面最大
- 第三方内核模块升级前的兼容性评估
- 多台主机的内核版本统一盘点
内核与补丁状态
内核与补丁状态
uname -r # 当前运行的内核版本
rpm -q kernel --last 2>/dev/null | head -3 # RHEL 系：已装内核与安装时间
dpkg -l 'linux-image-*' 2>/dev/null | tail -5 # Debian 系：已装内核包
cat /proc/version # 运行内核的详细构建信息
# 对照发行版勘误公告：按包版本与构建日期判断，不以主版本号为准更新与验证
更新与验证
sudo yum update -y kernel # RHEL 系更新内核（或改用 dnf）
sudo apt-get install --only-upgrade -y linux-image-generic # Debian 系
sudo reboot # 新内核需要重启才生效
uname -r # 重启后确认运行版本已经变化输出逐列读法
| 检查项 | 含义 | 注意点 |
|---|---|---|
| uname -r | 运行内核版本 | 与最新已装版本逐字比对 |
| 已装内核列表 | 系统中安装的内核版本 | 结合安装时间判断新旧 |
| /proc/version | 运行内核的构建信息 | 含编译器与构建日期 |
| 勘误公告版本 | 发行版给出的修复版本 | 必须按完整包版本比对 |
| 重启待办 | 是否需要重启才生效 | 与补丁盘点结果联动核查 |
典型的提权类内核漏洞都以「更新内核加重启」为唯一修复路径：升级完还没重启，漏洞在运行内核里仍然存在。
第三方内核模块（由 DKMS 编译的驱动）在新内核上可能编译失败：重启前先准备好救援内核，避免机器起不来。
容器与虚拟机里执行 uname 显示的是宿主内核：容器化环境的内核加固要看宿主机，容器自身无法通过装包修复内核漏洞。