Alibaba Cloud Linux menyediakan fitur Kernel Live Patching (KLP) untuk memperbaiki kerentanan dan paparan umum (CVE) serta bug kritis pada kernel. Anda dapat memperbarui hotfix untuk kernel sistem operasi tanpa perlu me-restart server, sehingga stabilitas dan keamanan kernel tetap terjaga. Topik ini menjelaskan fitur KLP, manfaat, serta batasannya.
Pengenalan
- Paket RPM: Paket RPM yang berisi modul kernel (.ko file) dan file deskripsi dari hotfix. Kernel memuat modul kernel dalam hotfix untuk memperbaiki bug kernel.
- Utilitas kpatch: Utilitas baris perintah yang digunakan untuk mengelola modul kernel dalam hotfix.
- Layanan kpatch: Layanan systemd KLP. Layanan ini memuat modul kernel dari setiap hotfix selama inisialisasi sistem operasi dan digunakan untuk memperbaiki bug kernel.
Manfaat
KLP dapat memperbarui hotfix untuk CVE atau bug kritis pada kernel dengan cara yang lancar dan cepat tanpa mengorbankan keamanan dan stabilitas server. Anda tidak perlu me-restart server atau proses tugas terkait bisnis lainnya, menunggu hingga tugas yang memakan waktu selesai, log off, atau memigrasi bisnis.
Batasan
- Untuk sistem operasi Alibaba Cloud Linux,
- KLP berlaku untuk Alibaba Cloud Linux 2.1903 dengan versi kernel kernel-4.19.24-9.al7.x86_64 atau yang lebih baru.
- KLP berlaku untuk Alibaba Cloud Linux 3.2104 dengan versi kernel 5.10.23-4.al8.x86_64 atau yang lebih baru.
- Untuk setiap versi kernel yang diperbarui dari sistem operasi Alibaba Cloud Linux, Alibaba Cloud menyediakan dukungan KLP selama satu tahun. Setelah periode satu tahun berakhir, Anda harus meningkatkan kernel sistem operasi ke versi terbaru.
- Tidak semua CVE atau bug kritis dapat diperbaiki dengan menggunakan KLP. KLP dimaksudkan untuk mengurangi restart server akibat pembaruan hotfix tetapi tidak dapat mencegah restart server sepenuhnya. KLP berlaku untuk CVE dengan tingkat keparahan tinggi dan kritis serta bug kritis.
- KLP bukan solusi umum untuk meningkatkan kernel. Ini hanya berlaku untuk memperbarui hotfix untuk CVE atau bug kritis ketika tidak nyaman untuk segera me-restart server.
- Selama proses pembaruan hotfix atau setelah hotfix berlaku, Anda tidak dapat menggunakan SystemTap atau kprobe untuk menguji atau melacak fungsi yang terlibat dalam hotfix. Jika tidak, hotfix akan menjadi tidak valid.
Operasi terkait
Untuk informasi tentang cara mendapatkan, mengaktifkan, atau menonaktifkan hotfix kernel untuk Alibaba Cloud Linux, lihat Operasi terkait dengan hotfix kernel.