适用场景

• 产品：ZCF
• 组件：ZStack Cloud
• 版本：4.8.x、4.6.x
• 操作系统：C76
• 部署形态：双管理节点
• 触发条件：漏扫发现 CVE-2024-6387 和云平台 8080 端口暴露问题。

问题现象

• OpenSSH 存在竞争条件问题漏洞：CVE-2024-6387。
• 云平台 8080 端口存在外部暴露风险。
• 修复需要同时做端口加固和 OpenSSH/OpenSSL 升级。

判断方法

1. 端口加固后检查 iptables -nvxL -t mangle。
2. 组件升级后检查 openssh/openssl 版本。
3. 确认 sshd 重启后主机连接与平台资源状态正常。

原因说明

本次整改包含两类独立风险：一类是 OpenSSH 竞争条件漏洞，需要通过升级到 10.2.Xp1 修复；另一类是云平台服务端口 8080 暴露风险，需要通过安全加固脚本限制外部访问。

解决方案

1. 执行前准备

• 风险等级：低风险
• 先关闭云主机全局高可用。
• 先备份双管理节点数据库。
• 所有节点变更时都需关注连接状态是否正常。

2. 端口加固步骤
3. 上传 safe_script_4.6.x.tar.gz 到管理节点。
4. 解压并执行：

   tar zxvf safe_script_v4.6.tar.gz
   cd safe_script
   bash safe.sh

• 预期结果：进入安全加固菜单。

3. 在菜单中选择 3 -> 1，对端口 8080 执行限制。

• 说明：若没有额外要求，IP 放行处可直接回车。
• 预期结果：外部对 8080 的访问被限制。

4. 检查规则：

   iptables -nvxL -t mangle

• 预期结果：端口加固规则已生效。

3. OpenSSH / OpenSSL 升级步骤
4. 查看当前版本：

   rpm -qa | grep openssh
   rpm -qa | grep openssl

• 预期结果：确认当前版本基线。

2. 上传升级包到各节点 /root，并准备目录：

   mkdir openssh-10.2.p1
   mv openssh-10.2p1-1.el7.tar.gz openssh-10.2.p1
   cd openssh-10.2.p1
   tar -xvf openssh-10.2p1-1.el7.tar.gz

• 预期结果：升级包解压完成。

3. 执行升级：

   yum --disablerepo=* --enablerepo=zstack-mn install ./*rpm

• 预期结果：OpenSSH/OpenSSL 升级成功。

4. 再次检查版本：

   rpm -qa | grep openssh
   rpm -qa | grep openssl

• 预期结果：确认版本已更新到目标范围。

5. 重启 sshd：

   systemctl restart sshd.service

• 预期结果：新版本正式生效。

6. 按相同步骤逐个升级其余节点。
7. 全部节点完成后，确认各资源连接正常，开启云主机全局高可用。

• 预期结果：整改收口完成。

验证方法

• 检查 iptables -nvxL -t mangle 中 8080 规则存在。
• 检查 rpm -qa | grep openssh 与 rpm -qa | grep openssl 输出符合目标版本。
• 检查 sshd 重启后连接正常。
• 检查平台资源与业务运行正常。

风险与回滚

• 风险：若端口规则放通不当，可能影响平台 API 可达性。
• 风险：若 OpenSSH/OpenSSL 升级异常，可能影响远程登录。
• 风险等级：低。
• 回滚步骤：

1. 使用安全加固脚本还原端口配置。
2. 回退 OpenSSH：

     yum remove openssh-askpass openssh-debuginfo
     yum --disablerepo=* --enablerepo=zstack-mn downgrade openssh*

3. 逐节点恢复到原版本。