安全披露
2026-05-08 内核安全更新公告
Linux Kernel Dirty Frag 本地权限提升漏洞
高危漏洞编号：QVD-2026-24699
风险描述：Linux内核漏洞风险，源于 xfrm-ESP（自2017年）和RxRPC（自2023年）两个独立模块的逻辑缺陷，攻击者在获取到普通用户shell/ssh权限的情况下，在特定条件下，可以实现对页缓存的写入，从而在几乎所有主流Linux发行版上提权。
影响范围：问题代码于2017年引入，涵盖大部分的Linux 内核及其发行版（Ubuntu / Debian / RHEL / SUSE 等）均受影响。
修复状态飞牛安全团队于今天早10点获取该漏洞信息，经确认fnOS系统相关业务不依赖该内核组件，停用即可暂时避免该风险。截止目前飞牛已经完成内核修复并进行内测验证，计划于1.1.3103版本彻底解决该漏洞。
处置建议：
1. 使用官方修复脚本（可前往论坛-通告对应帖子内获取），暂时停用相关服务，避免风险2. 关注虚拟机安装的Linux以及其发行版，停用相关组件或升级到安全的版本3. 避免在fnOS上运行非信任的docker容器/三方应用4. 关注官方系统近期安全更新，第一时间更新内核
2026-04-30 内核安全更新公告
Linux Kernel 本地权限提升漏洞
高危漏洞编号：QVD-2026-21755、CVE-2026-31431
风险描述：Linux内核漏洞风险，出现在内核的 crypto: algif_aead 模块，攻击者在获取到普通用户权限后，可以利用该组件的加密接口与另一个系统调用的组合，篡改 setuid 程序从而获得 root 权限。
影响范围：72548b093ee3 <= commit < a664bf3d603d，问题代码于2017年引入，涵盖大部分的Linux 内核及其发行版（Ubuntu / Debian / RHEL / SUSE 等）均受影响
处置建议：
1. 使用官方修复脚本（可前往论坛-通告对应帖子内获取），暂时停用相关服务，避免风险2. 关注虚拟机安装的Linux以及其发行版，停用相关组件或升级到安全的版本3. 避免在fnOS上运行非信任的docker容器/三方应用
2026-02-24 应用安全更新公告
青龙面板
高危风险描述：该应用存在安全缺陷，在端口公网暴露情况下，通过特定端口可能导致设备被恶意利用进行非法写入
影响范围：已安装青龙面板（包括应用中心或docker方式）并开启公网端口映射的实例
修复状态已从应用中心下架，等待开发者更新
处置建议：
立即停用该应用，或避免公网暴露15700端口
2026-02-14 应用安全更新公告
Aria2
高危风险描述：该应用默认配置存在安全缺陷，在公网暴露情况下，通过特定方式可能导致设备被非法写入
影响范围：应用版本所有已安装版本，开启公网的特定端口映射的实例
修复状态已从应用中心下架，等待开发者更新
处置建议：
立即停用该应用，选择替代应用或等待后续更新
道理鱼音乐
中危风险描述：旧版本存在docker容器权限提升风险，导致该应用能够访问其容器限定范围之外的其他当前容器目录
影响范围：应用版本0.1.9及之前版本
修复状态已发布修复版本0.2.4
处置建议：
前往应用中心尽快升级
Office预览
低危风险描述：在服务暴露于公网，且获取应用密钥情况下存在被碰撞文件风险隐患
影响范围：应用版本0.8.7及之前版本，且配置为公网访问的实例
修复状态已发布修复版本0.8.8
处置建议：
前往应用中心尽快升级