CVE-2021-3626修复后的服务异常重启问题
问题背景
在为服务器应用CVE-2021-3626内核漏洞补丁后，发现系统中运行的nginx服务出现异常重启现象。该漏洞涉及内核内存管理机制，修复后对系统资源调度产生影响。
复现步骤
# 1. 应用补丁前检查服务状态
systemctl status nginx
# 输出：active (running)
# 2. 安装CVE-2021-3626补丁
yum update kernel -y
reboot
# 3. 补丁后验证系统
uname -r
# 输出：4.18.0-348.el8.x86_64
# 4. 观察服务状态
systemctl status nginx
# 发现服务异常重启
# 5. 查看日志
journalctl -u nginx.service --since "1 hour ago"
根本原因分析
通过系统调用跟踪和内核日志分析，发现补丁后内存回收机制变化导致nginx进程在高负载时触发内核OOM Killer。具体表现为：
# 查看OOM相关日志
grep -i "oom" /var/log/messages
# 输出：
# kernel: [12345.678901] Out of memory: Kill process 1234 (nginx) score 123
解决方案
- 调整OOM参数：修改
/etc/sysctl.conf
echo 'vm.overcommit_memory = 1' >> /etc/sysctl.conf
sysctl -p
- 优化nginx配置：在nginx.conf中设置内存限制
worker_connections 1024;
worker_connections 1024;
worker_processes auto;
- 临时规避方案：添加systemd服务保护
# /etc/systemd/system/nginx.service.d/protect.conf
[Service]
MemoryMax=2G
MemorySwapMax=1G
验证测试
重启服务后观察：
systemctl restart nginx
systemctl status nginx
watch -n 1 'systemctl is-active nginx'
该问题验证了内核安全补丁对系统稳定性的影响，建议在生产环境应用前进行充分测试。
讨论