检查CVE的安装情况 - 滴滴嘟嘟博客

整理下关于CVE是否已经安装的检查方式。

由于公司现在全面部署了XDR+InsightVM这样的终端安全软件。经常会出现误报的情况，然后不懂技术的，就是只看着数据条目发邮件要求整改。这令我觉得非常的缺乏效率，而且好几个人可能为了填充其工作量的不足，会将一件事情通过2个人在不同的时间进行传达，完全是没有任何的意义。为了减少他们的骚扰，我整理下，从技术手段让这些人能安静一点。

Redhat篇#

检查是否安装了

1
dnf updateinfo list --cve CVE-2025-38352

如果输出为空，基本上是已经安装了。

如果要确认，可以使用下面的指令

1
rpm -q --changelog kernel | grep -i "CVE-2025-38352"
2
- posix-cpu-timers: fix race between handle_posix_cpu_timers() and posix_cpu_timer_del() (CKI Backport Bot) [RHEL-112783] {CVE-2025-38352}
3
- posix-cpu-timers: fix race between handle_posix_cpu_timers() and posix_cpu_timer_del() (CKI Backport Bot) [RHEL-112783] {CVE-2025-38352}
4
- posix-cpu-timers: fix race between handle_posix_cpu_timers() and posix_cpu_timer_del() (CKI Backport Bot) [RHEL-112783] {CVE-2025-38352}

检查kernel的状态

1
dnf history list kernel

通过列出的序号，可以检查详细的信息

1
dnf history info 90
2
Updating Subscription Management repositories.
3
Transaction ID : 90
4
Begin time     : Mon 15 Jun 2026 02:50:33 PM CST
5
Begin rpmdb    : aa24063c07e3c3aa35547dc07497fee7d344346022fa6dcd5dbd4587adf75915
6
End time       : Mon 15 Jun 2026 02:51:44 PM CST (71 seconds)
7
End rpmdb      : 20db09ccaa7e23a6b725a299df374992e6abebe402ad5fa354449b1b5884708b
8
User           : root <root>
9
Return-Code    : Success
10
Releasever     : 9
11
Command Line   : update
12
Persistence    : Persist
13
Comment        :
14
Packages Altered:
15
    Install       kernel-5.14.0-687.15.1.el9_8.x86_64              @rhel-9-for-x86_64-baseos-rpms
16
    Install       kernel-core-5.14.0-687.15.1.el9_8.x86_64         @rhel-9-for-x86_64-baseos-rpms
17
    Install       kernel-modules-5.14.0-687.15.1.el9_8.x86_64      @rhel-9-for-x86_64-baseos-rpms
18
    Install       kernel-modules-core-5.14.0-687.15.1.el9_8.x86_64 @rhel-9-for-x86_64-baseos-rpms
19
    Upgrade       bind-libs-32:9.16.23-40.el9_8.2.x86_64           @rhel-9-for-x86_64-appstream-rpms
20
    Upgraded      bind-libs-32:9.16.23-40.el9_8.1.x86_64           @@System

还可以用rpm来查

1
rpm -qa --last | grep kernel

Ubuntu#

通过检查变更日志来看

1
apt-changelog openssl | grep -i "CVE-2023-3817"

通过工具来扫描

安装工具 sudo apt-get update && sudo apt-get install debsecan -y
全盘扫描未修复的 CVE（输出会很长） debsecan
精准查找某个特定的 CVE 是否还存在于系统中 debsecan | grep “CVE-2023-41993”

如果命令有输出，说明确实存在该漏洞。如果没有输出，说明已经补好漏洞或者系统并不存在这样的漏洞

容器#

如果是容器存在漏洞，则可以按照下面的方式进行检查

安装trivy，然后扫描对应的容器镜像

1
trivy image my-image:latest

或者安装grype，扫描本地目录

1
grype dir:/

只要这些工具的扫描报告中不存在对应的CVE编号，就说明不存在该漏洞了。