如何进行Ubuntu漏洞CVE-2021-3493预警

发布时间：2021-12-29 17:57:16 作者：柒染
来源：亿速云阅读：149

# 如何进行Ubuntu漏洞CVE-2021-3493预警

## 漏洞概述

CVE-2021-3493是2021年披露的Linux内核提权漏洞，影响Ubuntu等多个Linux发行版。该漏洞存在于overlayfs文件系统中，由于未正确处理用户命名空间与文件系统权限的交互，本地攻击者可利用此漏洞将普通权限提升至root权限。

## 影响范围

### 受影响的Ubuntu版本
- Ubuntu 20.10 (Groovy Gorilla)
- Ubuntu 20.04 LTS (Focal Fossa)
- Ubuntu 18.04 LTS (Bionic Beaver)
- Ubuntu 16.04 LTS (Xenial Xerus)

### 漏洞原理
漏洞源于overlayfs在用户命名空间环境下未正确验证文件权限。当攻击者创建特制的overlayfs挂载时，可绕过权限检查直接修改受保护文件。

## 检测方法

### 手动检测步骤
1. 检查系统内核版本：
   ```bash
   uname -r

若版本低于以下修复版本则存在风险： - Ubuntu 20.04: 5.4.0-77.86 或更高 - Ubuntu 18.04: 4.15.0-151.157 或更高

验证overlayfs模块加载状态：
```
lsmod | grep overlay
```

自动化检测工具

推荐使用以下工具进行扫描：

# 使用vuls漏洞扫描工具
docker run --rm -it vuls/vuls scan-local

# 或使用lynis审计工具
sudo lynis audit system

修复方案

官方补丁升级

标准升级流程：

sudo apt update
sudo apt upgrade linux-image-$(uname -r)
sudo reboot

针对不同Ubuntu版本的特定命令：

Ubuntu 20.04:


sudo apt install --only-upgrade linux-image-5.4.0-77-generic

Ubuntu 18.04:


sudo apt install --only-upgrade linux-image-4.15.0-151-generic

临时缓解措施

若无法立即升级，可通过以下方式降低风险：

# 禁用overlayfs模块（可能影响容器运行）
sudo modprobe -r overlay
echo "blacklist overlay" | sudo tee /etc/modprobe.d/blacklist-overlay.conf

预警机制建设

企业级监控方案

IDS/IPS配置：

在Suricata/Snort中添加规则检测可疑的overlayfs操作

示例Snort规则：


alert tcp any any -> any any (msg:"Suspicious overlayfs mount"; content:"mount -t overlay"; nocase; sid:1000001;)

日志监控：

配置rsyslog监控/var/log/syslog中的关键事件：


$template OverlayAlert,"%msg%\n"
if $msg contains "overlayfs" then /var/log/overlayfs_alerts.log;OverlayAlert

自动化预警脚本

#!/bin/bash
CURRENT_KERNEL=$(uname -r)
VULNERABLE_VERSIONS=("5.4.0-72" "5.4.0-73" "4.15.0-144")

for version in "${VULNERABLE_VERSIONS[@]}"; do
  if [[ "$CURRENT_KERNEL" == *"$version"* ]]; then
    echo "CRITICAL: Vulnerable kernel detected ($CURRENT_KERNEL)" | mail -s "CVE-2021-3493 Alert" admin@example.com
    exit 1
  fi
done
echo "System is not vulnerable"
exit 0

后续防护建议

持续更新策略：
- 启用Ubuntu自动安全更新：
```
sudo dpkg-reconfigure -plow unattended-upgrades
```
权限管控：
- 实施最小权限原则，限制普通用户的sudo权限
- 定期审计用户权限：
```
sudo awk -F: '($3 == "0") {print}' /etc/passwd
```

安全加固：

安装并配置AppArmor：


sudo apt install apparmor apparmor-utils
sudo aa-enforce /etc/apparmor.d/*

参考资源

”`

注：本文档基于漏洞披露时的公开信息编写，实际环境中建议结合具体情况进行测试验证。修复后应进行回归测试，确保补丁不会影响业务系统正常运行。