YUM（Yellowdog Updater Modified）是一個強大的包管理工具，可以用來安裝、更新、刪除軟體包，以及管理軟體包倉庫，進行安全更新操作對於保持系統安全至關重要。Alibaba Cloud Linux發行版為保障系統的安全性，會緊密跟進業界與社區發現的軟體問題及安全性漏洞（CVE），及時更新包括核心在內的軟體包、修複軟體缺陷、修補安全性漏洞以及增強安全功能。本文主要介紹如何使用yum查詢、檢查以及安裝Alibaba Cloud Linux作業系統的安全更新。
前提條件
已建立了作業系統為Alibaba Cloud Linux的ECS執行個體。具體操作，請參見執行個體建立方式介紹。
背景資訊
關於Alibaba Cloud Linux安全更新記錄，請參見Alibaba Cloud Linux 3資訊安全諮詢和Alibaba Cloud Linux 2資訊安全諮詢。
Alibaba Cloud Linux安全更新根據CVE的通用漏洞評估方法（CVSS3）的評分，將安全更新分為以下四個等級：
Critical：高風險，必須更新
Important：較高風險，強烈建議更新
Moderate：中等風險，推薦更新
Low：低風險，可選更新
查詢安全更新
查詢安全更新的yum命令格式如下。
yum updateinfo <command> [option]yum updateinfo 命令用於顯示與軟體封裝更新相關的資訊。包括哪些更新是安全更新、哪些是缺陷修複更新、哪些是增強功能更新。此命令通常用於擷取可用更新的詳細資料，包括描述更新的類型、相關的CVE標識、以及可能影響的軟體包。
命令內參數的取值說明如下。
變數名稱 | 取值 |
<command> |
|
[option] |
|
yum updateinfo命令相關的使用樣本如下。
運行以下命令，擷取命令的協助資訊。
yum updateinfo --help運行以下命令，查詢當前全部可用的安全更新資訊。
yum updateinfo查詢結果樣本如下所示：
Alibaba Cloud Linux 3
Last metadata expiration check: 0:06:42 ago on Wed 02 Jun 2021 03:05:30 AM EDT. Updates Information Summary: available 3 Security notice(s) 2 Important Security notice(s) 1 Moderate Security notice(s)Alibaba Cloud Linux 2
Loaded plugins: fastestmirror Determining fastest mirrors base | 3.1 kB 00:00:00 extras | 2.5 kB 00:00:00 plus | 2.5 kB 00:00:00 updates | 2.9 kB 00:00:00 (1/6): extras/2.1903/x86_64/primary_db | 149 kB 00:00:00 (2/6): base/2.1903/x86_64/group_gz | 101 kB 00:00:00 (3/6): updates/2.1903/x86_64/updateinfo | 81 kB 00:00:00 (4/6): plus/2.1903/x86_64/primary_db | 1.5 MB 00:00:00 (5/6): base/2.1903/x86_64/primary_db | 4.9 MB 00:00:00 (6/6): updates/2.1903/x86_64/primary_db | 6.1 MB 00:00:00 Updates Information Summary: updates 17 Security notice(s) 7 Important Security notice(s) 6 Moderate Security notice(s) 4 Low Security notice(s) updateinfo summary done運行以下命令，查詢當前可用的安全更新列表。
yum updateinfo list查詢結果樣本如下所示：
Alibaba Cloud Linux 3
Last metadata expiration check: 0:09:05 ago on Wed 02 Jun 2021 03:05:30 AM EDT. ALINUX3-SA-2021:0008 Moderate/Sec. gnutls-3.6.14-7.1.al8.x86_64 ALINUX3-SA-2021:0029 Important/Sec. gnutls-3.6.14-8.1.al8.x86_64 ALINUX3-SA-2021:0028 Important/Sec. libldb-2.1.3-3.1.al8.x86_64 ALINUX3-SA-2021:0029 Important/Sec. nettle-3.4.1-4.1.al8.x86_64Alibaba Cloud Linux 2
Loaded plugins: fastestmirror Loading mirror speeds from cached hostfile ALINUX2-SA-2019:0055 Moderate/Sec. binutils-2.27-41.base.1.al7.x86_64 ALINUX2-SA-2019:0058 Low/Sec. curl-7.29.0-54.1.al7.x86_64 ALINUX2-SA-2019:0059 Low/Sec. elfutils-default-yama-scope-0.176-2.1.al7.n ...運行以下命令，查詢指定安全更新的內容。
yum updateinfo info <update_id>使用樣本如下：
Alibaba Cloud Linux 3
例如，<update_id>的取值為
ALINUX3-SA-2021:0008，則需要運行以下命令。yum updateinfo info ALINUX3-SA-2021:0008查詢結果樣本如下所示：
Last metadata expiration check: 0:11:58 ago on Wed 02 Jun 2021 03:05:30 AM EDT. =============================================================================== ALINUX3-SA-2021:0008: gnutls security and bug fix update (Moderate) =============================================================================== Update ID: ALINUX3-SA-2021:0008 Type: security Updated: 1969-12-31 19:00:00 CVEs: CVE-2020-24659 Description: Package updates are available for Alibaba Cloud Linux 3 that fix the following vulnerabilities: : : CVE-2020-24659: : An issue was discovered in GnuTLS before 3.6.15. A server can trigger a NULL pointer dereference in a TLS 1.3 client if a no_renegotiation alert is sent with unexpected timing, and then an invalid second handshake occurs. The crash happens in the application's error handling path, where the gnutls_deinit function is called after detecting a handshake failure. : Severity: ModerateAlibaba Cloud Linux 2
例如，<update_id>的取值為
ALINUX2-SA-2020:0005，則需要運行以下命令。yum updateinfo info ALINUX2-SA-2020:0005查詢結果樣本如下所示：
Loaded plugins: fastestmirror Loading mirror speeds from cached hostfile =============================================================================== ALINUX2-SA-2020:0005: nss, nss-softokn, nss-util security update (Important) =============================================================================== Update ID : ALINUX2-SA-2020:0005 Release : Alibaba Cloud Linux 2.1903 Type : security Status : stable Issued : 2020-01-03 CVEs : CVE-2019-11729 : CVE-2019-11745 Description : Package updates are available for Alibaba Cloud Linux 2.1903 that fix : the following vulnerabilities: : : CVE-2019-11729: : Empty or malformed p256-ECDH public keys may : trigger a segmentation fault due values being : improperly sanitized before being copied into : memory and used. This vulnerability affects : Firefox ESR < 60.8, Firefox < 68, and Thunderbird : < 60.8. : : CVE-2019-11745: : When encrypting with a block cipher, if a call to : NSC_EncryptUpdate was made with data smaller than : the block size, a small out of bounds write could : occur. This could have caused heap corruption and : a potentially exploitable crash. This : vulnerability affects Thunderbird < 68.3, Firefox : ESR < 68.3, and Firefox < 71. : Severity : Important updateinfo info done運行以下命令，指定安全更新層級進行查詢。
yum updateinfo list --sec-severity=Moderate查詢結果樣本如下所示：
Last metadata expiration check: 0:05:25 ago on Mon 07 Jun 2021 09:08:25 AM EDT. ALINUX3-SA-2021:0008 Moderate/Sec. gnutls-3.6.14-7.1.al8.x86_64
檢查安全更新
Alibaba Cloud Linux作業系統中預設安裝並開啟了update-motd服務，當系統檢測有可用的安全更新時，會在您登入ECS執行個體時顯示安全更新的提醒。關於update-motd服務的管理操作，請參見管理update-motd服務。
您也可以通過yum check-update --security命令檢查系統當前可用的安全更新資訊。可以在命令後追加參數--sec-severity=<SEVS>來檢查指定層級的安全更新，參數<SEVS>為指定的安全更新層級。
您可以指定多個安全更新的層級，以半形逗號（,）分隔，區分大小寫。
檢查安全更新的使用樣本如下。
Alibaba Cloud Linux 3
樣本一：運行以下命令，檢查所有安全更新資訊。
yum check-update --security查詢結果樣本如下所示：
Last metadata expiration check: 0:08:41 ago on Wed 02 Jun 2021 05:24:55 PM CST. nss.x86_64 3.53.1-17.1.al8 alinux3-updates nss-softokn.x86_64 3.53.1-17.1.al8 alinux3-updates nss-softokn-freebl.x86_64 3.53.1-17.1.al8 alinux3-updates nss-sysinit.x86_64 3.53.1-17.1.al8 alinux3-updates nss-util.x86_64 3.53.1-17.1.al8 alinux3-updates perl-Errno.x86_64 1.28-417.2.al8 alinux3-updates perl-IO.x86_64 1.38-417.2.al8 alinux3-updates樣本二：運行以下命令，檢查高風險和較高風險的安全更新資訊。
yum check-update --security --sec-severity={Critical,Important}查詢結果樣本如下所示：
Last metadata expiration check: 0:10:23 ago on Wed 02 Jun 2021 05:24:55 PM CST. gnutls.x86_64 3.6.14-8.2.al8 alinux3-updates nss.x86_64 3.53.1-17.1.al8 alinux3-updates nss-softokn.x86_64 3.53.1-17.1.al8 alinux3-updates nss-softokn-freebl.x86_64 3.53.1-17.1.al8 alinux3-updates nss-sysinit.x86_64 3.53.1-17.1.al8 alinux3-updates nss-util.x86_64 3.53.1-17.1.al8 alinux3-updates perl-Errno.x86_64 1.28-417.2.al8 alinux3-updates perl-IO.x86_64 1.38-417.2.al8 alinux3-updates
Alibaba Cloud Linux 2
樣本一：運行以下命令，檢查狀態為
available的所有安全更新資訊。yum check-update --security |grep available查詢結果樣本如下所示：
49 package(s) needed for security, out of 183 available樣本二：運行以下命令，檢查狀態為
available的高風險和較高風險的安全更新資訊。yum check-update --security --secseverity=Critical,Important |grep available查詢結果樣本如下所示：
30 package(s) needed for security, out of 183 available
安裝安全更新
檢查系統中有安全更新時，您可以通過yum upgrade命令指定安全更新層級或者CVE ID，安裝安全更新。
通過命令yum upgrade進行安裝安全更新會強制移除過時的軟體包（核心包除外），可能造成您的執行個體停止工作，導致業務中斷，建議您在非業務高峰期時執行該操作。
命令
yum upgrade --security可以安裝安全更新，可在該命令後追加參數--sec-severity=<SEVS>來安裝指定層級的安全更新，<SEVS>為指定的安全更新層級。說明您可以指定多個安全更新的層級，以半形逗號（,）分隔，區分大小寫。
使用樣本如下：
運行以下命令，安裝高風險和較高風險的安全更新。
sudo yum upgrade --security --sec-severity={Critical,Important}安裝過程中的回顯資訊樣本如下所示：
Alibaba Cloud Linux 3
Last metadata expiration check: 0:06:43 ago on Wed 02 Jun 2021 03:51:48 AM EDT. Dependencies resolved. ================================================================================ Package Arch Version Repository Size ================================================================================ Upgrading: ... Transaction Summary ================================================================================ Upgrade 12 Packages Total download size: 3.9 M Is this ok [y/N]:Alibaba Cloud Linux 2
Loaded plugins: fastestmirror Loading mirror speeds from cached hostfile ... [snipped] ... Transaction Summary ============================================================================================================================================================================= Upgrade 30 Packages (+1 Dependent package) Total download size: 91 M Is this ok [y/d/N]:命令
yum upgrade -cve=<CVE ID>可以安裝指定CVE的安全更新，參數-cve=<CVE ID>為指定的CVE ID。說明您可以指定多個CVE ID，以半形逗號（,）分隔，區分大小寫。
使用樣本如下：
Alibaba Cloud Linux 3
運行以下命令，安裝
CVE-2020-24659安全更新。sudo yum upgrade --cve=CVE-2020-24659安裝過程中的回顯資訊樣本如下所示：
Last metadata expiration check: 0:02:44 ago on Wed 02 Jun 2021 04:17:27 AM EDT. Dependencies resolved. ===================================================================================== Package Architecture Version Repository Size ===================================================================================== Upgrading: ... Transaction Summary ===================================================================================== Upgrade 1 Package Total download size: 1.0 M Is this ok [y/N]Alibaba Cloud Linux 2
運行以下命令，安裝
CVE-2019-11729和CVE-2019-11745安全更新。sudo yum upgrade --cve=CVE-2019-11729,CVE-2019-11745安裝過程中的回顯資訊樣本如下所示：
Loaded plugins: fastestmirror Loading mirror speeds from cached hostfile ... [snipped] ... Dependencies Resolved ============================================================================================================================================================================= Package Arch Version Repository Size ============================================================================================================================================================================= Updating: nss x86_64 3.44.0-7.1.al7 updates 854 k nss-softokn x86_64 3.44.0-8.1.al7 updates 330 k nss-softokn-freebl x86_64 3.44.0-8.1.al7 updates 225 k nss-sysinit x86_64 3.44.0-7.1.al7 updates 65 k nss-tools x86_64 3.44.0-7.1.al7 updates 528 k nss-util x86_64 3.44.0-4.1.al7 updates 79 k Updating for dependencies: nspr x86_64 4.21.0-1.1.al7 updates 127 k Transaction Summary ============================================================================================================================================================================= Upgrade 6 Packages (+1 Dependent package) Total download size: 2.2 M Is this ok [y/d/N]:說明通過命令
man yum可知，sudo yum upgrade命令等同於sudo yum update --obsoletes。因設定檔/etc/yum.conf中預設開啟了obsoletes，所以sudo yum upgrade也等同於sudo yum update。
管理update-motd服務
您可以通過systemctl命令管理update-motd服務。具體說明如下：
啟動
update-motd服務。sudo systemctl start update-motd停止
update-motd服務。sudo systemctl stop update-motd重啟
update-motd服務。sudo systemctl restart update-motd查看
update-motd服務狀態。systemctl status update-motd