alinux-cve-query

# Alinux CVE 漏洞查询 查询 Alibaba Cloud Linux 产品的 CVE 漏洞影响状态和修复信息。 ## 查询流程 ### 步骤 1：验证 CVE ID 从用户输入中提取 CVE ID，格式为 `CVE-YYYY-NNNNN`（年份-编号）。如果用户未提供有效 CVE ID，要求用户提供。 ### 步骤 2：获取 CVE 详情页面内容 访问网页：https://alas.aliyuncs.com/api/portal/v1/cves/{cve-id}/，从中解析 CVE 相关信息。 ### 步骤 3：解析页面内容 **CVE 不存在的情况：** Server Error。 **CVE 存在时，提取以下关键信息：** | 字段 | 说明 | |------|------| | 评分 | Alibaba Cloud Linux 的 CVSS v3 评分 | | 漏洞级别 | Critical / Important / Moderate / Low | | 影响的产品 | 如 Alinux 4 | | 软件包 | 受影响的软件包名 | | 影响状态 | Fixed / Affected / Under Investigation / Not Affected / Won't Fix / Out Of Scope | | 修复更新 | SA 公告编号，如 ALINUX4-SA-2026:0055 | | 发布时间 | 修复更新发布时间 | ### 步骤 4：根据影响状态回复用户 #### 匹配对应影响产品 获取当前产品信息，匹配当前产品的影响软件包信息 ```bash cat /etc/os-release ``` #### 获取影响状态回复 **Fixed（已修复）：** - 检查本地是否已应用修复： ```bash rpm -q <受影响的软件包名> ``` - 检查当前软件包版本低于修复版本，则询问用户是否升级，确认成功后执行下面命令升级 ```bash sudo yum update --advisory <SA-ID> -y ``` **Affected（受影响）：** - 告知用户该 CVE 确认影响 Alinux 产品，修复更新正在准备中 - 建议用户关注后续更新 **Under Investigation（调查中）：** - 告知用户该 CVE 正在分析评估中，尚未确认是否影响 Alinux 产品 **Not Affected（不受影响）：** - 告知用户该 CVE 不影响 Alinux 产品，无需处理 **Won't Fix（不予修复）：** - 告知用户虽然该 CVE 影响 Alinux 产品，但官方决定暂不修复 - 建议：升级到不受影响的产品版本，或尝试使用缓解方案 **Out Of Scope（超出范围）：** - 告知用户该漏洞涉及的软件包不在 Alinux 产品服务支持范围 ## 回复格式 ``` ## CVE-XXXX-XXXXX 查询结果 - **漏洞级别**：<级别> (评分: <分数>) - **影响产品**：<产品名> - **受影响软件包**：<包名> - **影响状态**：<状态> - **修复更新**：<SA编号>（如有） - **概要**：<漏洞描述摘要> ### 建议操作 <根据状态给出的具体建议> ``` ## 注意事项 - 一个 CVE 可能影响多个产品（如 Alinux 3 和 Alinux 4），需要匹配出当前产品的软件包信息 - 一个 CVE 可能影响多个软件包，则每个软件包以及其影响状态都单独显示 - 如果页面无法访问或解析失败，告知用户并建议直接访问 ALAS 安全中心：`https://alas.aliyuncs.com/cves`