适用场景
- 产品：
ZCF - 组件：
ZCE-X、Cloud - ZCE-X 版本：
5.2.x - Cloud 版本：
4.8.x - 触发条件：漏扫发现
CVE-2026-31431本地高危提权漏洞，需要执行麒麟官方临时修复方案。
问题现象
- 目标物理机存在
CVE-2026-31431漏洞。 - 修复动作作用于物理机操作系统内核侧。
- 执行后可能需要重启物理机。
判断方法
- 修复前确认业务窗口与主机迁移安排。
- 修复后检查
algif_aead模块是否已删除/禁用。 - 若脚本提示需要重启，则重启后再次验证。
原因说明
该漏洞属于麒麟操作系统上的本地高危提权漏洞，因此整改不在平台业务逻辑层，而在物理机操作系统层面完成，并采用麒麟官方给出的临时修复脚本。
解决方案
- 执行前准备
- 风险等级：中风险
- 先关闭云主机全局高可用。
- 先备份双管理节点数据库。
- 提前迁移云主机或协调业务窗口，避免物理机重启影响业务。
- 处理步骤
- 备份数据库：
zstack-ctl dump_mysql
zstack-ctl dump_mysql- 预期结果：具备平台侧保护措施。
- 下载官方修复脚本：
https://security-oss.kylinos.cn/Desktop/CVE-2026-31431/kylin_mitigate-CVE-2026-31431.zip- 预期结果：拿到麒麟官方修复包。
- 上传到物理机
/root并解压：
unzip kylin_mitigate-CVE-2026-31431.zip- 预期结果：脚本文件可执行。
- 在物理机执行修复脚本：
bash kylin_mitigate-cve-2026-31431.sh/kylin_mitigate-cve-2026-31431.sh- 预期结果：官方临时缓解措施应用完成。
- 验证修复结果：
ll /lib/modules/4.19.90-52.48.v2207.ky10.x86_64/kernel/crypto/algif_aead.ko.xz
cat /etc/modprobe.d/disable-algif-aead.conf- 预期结果：
- 模块已删除或不可再正常加载
disable-algif-aead.conf已生成
- 根据脚本执行结果决定是否重启物理机。
- 预期结果：如需重启，重启后修复措施正式生效。
- 逐台完成所有物理机修复后，确认无异常再开启云主机全局高可用。
- 预期结果：漏洞修复完成，平台恢复常态运行。
验证方法
- 检查
algif_aead.ko.xz与禁用配置文件状态符合预期。 - 检查脚本执行结果无异常。
- 如执行了重启，检查重启后主机与平台均恢复正常。
风险与回滚
- 风险：修复过程可能触发物理机重启，因此必须先协调业务窗口。
- 风险：若未提前迁移云主机，可能影响业务连续性。
- 风险等级：中。
- 回滚：此类安全漏洞修复“无需回退”。