适用场景

• 产品：ZCF
• 组件：ZCE-X、Cloud
• ZCE-X 版本：5.2.x
• Cloud 版本：4.8.x
• 触发条件：漏扫发现 CVE-2026-43284 提权漏洞，需要从内核模块层面执行修复。

问题现象

• 环境存在 CVE-2026-43284 提权漏洞。
• 漏洞与 esp4、esp6、rxrpc 内核模块有关。
• 修复方式是永久禁用并卸载这些模块。

判断方法

1. 修复前确认业务窗口和高可用切换安排。
2. 修复后检查 modprobe -n -v 输出是否被重定向到 /bin/false。
3. 检查 lsmod 中是否已无目标模块。

原因说明

本次漏洞修复不依赖应用层配置，而是要直接在物理机操作系统中屏蔽并卸载 esp4、esp6、rxrpc 内核模块，以消除提权风险。

解决方案

1. 执行前准备

• 风险等级：低风险
• 先关闭云主机全局高可用。
• 先备份双管理节点数据库。
• 逐台物理机执行，确保每台验证通过后再继续。

2. 处理步骤
3. 备份数据库：

   zstack-ctl dump_mysql
   zstack-ctl dump_mysql

• 预期结果：平台侧数据有备份保障。

2. 永久禁用内核模块：

   printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf

• 预期结果：模块加载请求会被拦截。

3. 卸载当前已加载模块：

   rmmod esp4 esp6 rxrpc 2>/dev/null; true

• 预期结果：已在内存中的目标模块被卸载。

4. 验证模块已被禁用：

   modprobe -n -v esp4
   modprobe -n -v esp6
   modprobe -n -v rxrpc

• 预期结果：输出应体现模块被重定向到 /bin/false。

5. 验证模块不在内存中：

   lsmod | grep -E "esp4|esp6|rxrpc"

• 预期结果：无匹配输出，说明模块已卸载。

6. 确认无异常后，开启云主机全局高可用。

• 预期结果：整改完成且平台恢复正常运行。

验证方法

• 检查 dirtyfrag.conf 文件内容正确。
• 检查 modprobe -n -v 结果确认模块不可再正常加载。
• 检查 lsmod 中无 esp4、esp6、rxrpc。
• 检查平台与业务运行正常。

风险与回滚

• 风险：若相关环境对这些模块有特殊依赖，需先评估再执行。
• 风险等级：低。
• 回滚：此类安全漏洞修复“无需回退”。