突发 Linux 内核漏洞：两款高危无痕提权，无文件落地不留攻击痕迹

附录：检测脚本

#!/bin/bash

# 颜色定义
RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
NC='\033[0m' # No Color

echo -e "${YELLOW}========================================${NC}"
echo -e "${YELLOW} Linux 安全加固与漏洞复查工具 ${NC}"
echo -e "${YELLOW}========================================${NC}"
echo ""

# 1. 执行加固：永久关闭非特权用户命名空间
echo -e "[*] 正在执行安全加固..."
echo -e "    1. 写入永久配置..."
echo "kernel.unprivileged_userns_clone=0" | sudo tee /etc/sysctl.d/99-disable-unpriv-userns.conf > /dev/null

echo -e "    2. 立即应用配置..."
sudo sysctl -p /etc/sysctl.d/99-disable-unpriv-userns.conf > /dev/null
echo -e "    ${GREEN}[+] 加固完成：已永久关闭非特权用户命名空间。${NC}"
echo ""

# 2. 重新检查所有项目
echo -e "${YELLOW}----------------------------------------${NC}"
echo -e "${YELLOW} 加固完成，正在重新检查系统状态... ${NC}"
echo -e "${YELLOW}----------------------------------------${NC}"
echo ""

# --- 检查开始 ---

# 检查当前内核版本
CURRENT_KERNEL=$(uname -r)
echo -e "[*] 当前内核版本: ${GREEN}${CURRENT_KERNEL}${NC}"

# 检查非特权用户命名空间配置
echo -e "\n[*] 检查非特权用户命名空间 (unprivileged_userns_clone)..."
if [ -f /proc/sys/kernel/unprivileged_userns_clone ]; then
    UNPRIV_STATUS=$(cat /proc/sys/kernel/unprivileged_userns_clone)
    if [ "$UNPRIV_STATUS" -eq 1 ]; then
        echo -e "    [!] 状态: ${RED}已开启 (值为 1)${NC}"
        echo -e "    [!] 风险: 系统允许非特权用户创建命名空间，存在被利用的高危风险。"
    else
        echo -e "    [+] 状态: ${GREEN}已关闭 (值为 0)${NC}"
        echo -e "    [+] 评估: 攻击路径被阻断，风险较低。"
    fi
else
    echo -e "    [-] 状态: ${YELLOW}配置文件不存在${NC}"
    echo -e "    [-] 评估: 当前内核可能默认不支持此特性，或使用了其他机制。"
fi

# 检查高危内核模块
echo -e "\n[*] 检查漏洞相关高危内核模块..."
MODULES_TO_CHECK=("act_pedit" "esp4" "esp6")
MODULES_LOADED=0
for mod in "${MODULES_TO_CHECK[@]}"; do
    if lsmod | grep -q "^$mod "; then
        echo -e "    [!] 发现模块: ${RED}${mod}${NC} 已加载"
        MODULES_LOADED=$((MODULES_LOADED + 1))
    fi
done
if [ "$MODULES_LOADED" -eq 0 ]; then
    echo -e "    [+] 评估: 未发现已知高危模块，环境相对安全。"
else
    echo -e "    [!] 警告: 发现 $MODULES_LOADED 个相关模块。如果业务不需要，建议卸载。"
    echo -e "    [+] 缓解建议: 卸载模块请执行: sudo modprobe -r act_pedit"
fi

# 内核版本基础比对
echo -e "\n[*] 检查内核版本是否过旧..."
MAJOR_VERSION=$(echo "$CURRENT_KERNEL" | cut -d. -f1)
MINOR_VERSION=$(echo "$CURRENT_KERNEL" | cut -d. -f2)
if [ "$MAJOR_VERSION" -lt 5 ] || ([ "$MAJOR_VERSION" -eq 5 ] && [ "$MINOR_VERSION" -lt 10 ]); then
    echo -e "    [!] 警告: ${RED}当前内核版本低于 5.10${NC}"
    echo -e "    [!] 评估: 极有可能受到 pedit COW / DirtyClone 漏洞影响。"
    echo -e "    [+] 修复建议: 请立即升级内核至最新稳定版。"
else
    echo -e "    [+] 评估: 内核版本 >= 5.10，但请务必确认已应用最新的安全补丁。"
fi

echo -e "\n${YELLOW}========================================${NC}"
echo -e "${YELLOW} 检查完成。请根据以上结果评估系统安全性。 ${NC}"
echo -e "${YELLOW}========================================${NC}"

🧐 脚本能做什么？

1. 识别系统环境：自动检测你的 Linux 发行版（如 CentOS, Ubuntu 等）和版本号。
2. 检查风险配置：检查是否存在可能加剧漏洞风险的系统配置，例如是否开启了非特权用户命名空间（unprivileged_userns_clone）。
3. 检查高危模块：检查与漏洞相关的内核模块（如 act_pedit）是否已加载。
4. 提供升级方案：根据你的系统版本，打印出正确的内核升级命令。这是它最核心的价值。

🛠️ 脚本不能做什么？

• 不能自动修复漏洞：脚本不会自动执行它打印出来的升级命令。它只是把命令显示在屏幕上，需要你手动复制、粘贴并执行。
• 不能直接打补丁：它无法在不重启系统的情况下修复内核漏洞。修复这类漏洞的唯一可靠方法是升级到包含修复补丁的新内核版本，而这通常需要重启。

📌 总结