Docker 最新漏洞修复教程｜附完整命令

前言

Docker 作为当前最主流的容器化平台之一，被广泛应用于开发、测试、生产部署、CI/CD 流水线以及云原生基础设施中。由于 Docker 通常运行在服务器底层，并且具备镜像拉取、容器启动、网络映射、数据挂载、权限管理等能力，一旦存在高危漏洞，攻击者就可能利用漏洞完成容器逃逸、权限提升、恶意镜像投递、敏感文件读取，甚至进一步控制宿主机。

因此，当 Docker 官方或 Linux 发行版安全公告发布漏洞修复版本后，运维人员、开发人员和安全人员应尽快完成版本核查、影响评估、升级修复和回归验证。本文将以实战角度介绍 Docker 漏洞修复的完整流程，并附上常用命令，方便你直接在服务器中执行。

说明：不同漏洞对应的受影响版本可能不同，本文提供的是通用修复方法。实际操作前，建议结合 Docker 官方公告、发行版安全公告以及企业内部变更流程执行。

一、为什么 Docker 漏洞需要及时修复？

Docker 漏洞的风险通常不只影响单个容器。很多服务器会在 Docker 中运行数据库、中间件、业务服务、CI Runner、日志组件等关键系统。如果 Docker Engine、containerd、runc 或相关依赖存在漏洞，可能带来以下风险：

1. 容器逃逸
   攻击者可能从容器内部突破隔离边界，访问宿主机文件系统或执行宿主机命令。

2. 权限提升
   某些漏洞可能允许低权限用户获得更高权限，扩大攻击面。

3. 镜像供应链风险
   如果镜像拉取、构建或运行流程存在安全缺陷，恶意镜像可能影响生产环境。

4. 拒绝服务攻击
   攻击者可能构造异常请求或容器行为，导致 Docker 服务崩溃，影响业务稳定性。

5. 敏感信息泄露
   不安全的挂载、日志、Socket 暴露或配置缺陷，可能导致密钥、环境变量、数据库密码泄露。

因此，Docker 漏洞修复不应只是“升级一下版本”，而应包括版本检查、数据备份、服务升级、配置加固、容器重启和验证测试等完整步骤。

二、修复前准备工作

在正式升级前，建议先确认当前环境信息，避免盲目操作导致业务中断。

1. 查看 Docker 当前版本

docker version

查看 Docker Engine 版本：

docker --version

查看 containerd 版本：

containerd --version

查看 runc 版本：

runc --version

如果系统中没有 runc 命令，可以使用以下命令查找：

which runc

或者：

find /usr -name runc 2>/dev/null

2. 查看系统版本

Ubuntu / Debian 系统：

cat /etc/os-release

CentOS / RHEL / Rocky Linux / AlmaLinux 系统：

cat /etc/redhat-release

通用命令：

uname -a

3. 查看当前运行中的容器

docker ps

查看所有容器，包括已停止的容器：

docker ps -a

查看镜像列表：

docker images

查看数据卷：

docker volume ls

查看 Docker 网络：

docker network ls

三、修复前备份建议

升级 Docker 通常不会删除镜像、容器和数据卷，但生产环境中仍建议先做备份，特别是数据库容器、挂载目录和关键配置文件。

1. 备份 Docker 配置目录

sudo tar -czvf docker-config-backup-$(date +%F).tar.gz /etc/docker

如果使用了 systemd 自定义配置，也建议备份：

sudo tar -czvf docker-systemd-backup-$(date +%F).tar.gz /etc/systemd/system/docker.service.d 2>/dev/null

2. 备份 Docker 数据目录

Docker 默认数据目录通常是 /var/lib/docker。如果数据量很大，建议使用快照、云盘备份或专业备份工具。

简单备份命令如下：

sudo tar -czvf docker-data-backup-$(date +%F).tar.gz /var/lib/docker

注意：直接压缩 /var/lib/docker 时，最好先停止 Docker 服务，否则可能出现数据不一致。生产环境请优先使用磁盘快照或业务级备份。

3. 备份 Docker Compose 文件

如果你的服务通过 Docker Compose 管理，建议备份项目目录中的 docker-compose.yml 或 compose.yml。

find / -name "docker-compose.yml" 2>/dev/null

find / -name "compose.yml" 2>/dev/null

四、Ubuntu / Debian 系统修复 Docker 漏洞

以下命令适用于 Ubuntu、Debian 以及基于 Debian 的发行版。

1. 更新软件包索引

sudo apt update

2. 查看可升级的 Docker 相关包

apt list --upgradable | grep -E "docker|containerd|runc"

3. 升级 Docker 相关组件

如果你使用的是 Docker 官方源，可执行：

sudo apt install --only-upgrade docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

如果系统提示某些包不存在，可先查看已安装包：

dpkg -l | grep -E "docker|containerd|runc"

然后根据实际包名升级，例如：

sudo apt install --only-upgrade docker.io containerd runc

4. 重启 Docker 服务

sudo systemctl daemon-reload
sudo systemctl restart docker

查看服务状态：

sudo systemctl status docker --no-pager

5. 确认升级后的版本

docker version
containerd --version
runc --version

五、CentOS / RHEL / Rocky Linux / AlmaLinux 系统修复 Docker 漏洞

以下命令适用于 CentOS、RHEL、Rocky Linux、AlmaLinux 等系统。不同系统可能使用 yum 或 dnf，请根据实际环境选择。

1. 查看已安装 Docker 相关包

rpm -qa | grep -E "docker|containerd|runc"

2. 检查可用更新

使用 yum：

sudo yum check-update

使用 dnf：

sudo dnf check-update

筛选 Docker 相关包：

sudo yum check-update | grep -E "docker|containerd|runc"

或：

sudo dnf check-update | grep -E "docker|containerd|runc"

3. 升级 Docker 相关组件

使用 yum：

sudo yum update docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

使用 dnf：

sudo dnf update docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

如果你安装的是发行版自带 Docker 包，可以尝试：

sudo yum update docker containerd runc

或：

sudo dnf update docker containerd runc

4. 重启 Docker 服务

sudo systemctl daemon-reload
sudo systemctl restart docker

查看状态：

sudo systemctl status docker --no-pager

5. 验证版本

docker version
containerd --version
runc --version

六、使用 Docker 官方安装脚本的环境如何修复？

有些服务器当初是通过 Docker 官方脚本安装的：

curl -fsSL https://get.docker.com | sh

这种环境一般也会配置 Docker 官方软件源，因此可以直接通过系统包管理器升级。

Ubuntu / Debian：

sudo apt update
sudo apt install --only-upgrade docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

CentOS / Rocky Linux / AlmaLinux：

sudo yum update docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

或：

sudo dnf update docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

升级完成后重启 Docker：

sudo systemctl restart docker

七、Docker Desktop 漏洞修复方法

如果你使用的是 macOS 或 Windows 上的 Docker Desktop，建议直接升级到官方最新稳定版本。

macOS

1. 打开 Docker Desktop。
2. 点击菜单栏 Docker 图标。
3. 选择 Check for Updates。
4. 下载并安装最新版本。
5. 重启 Docker Desktop。

也可以通过 Homebrew 升级：

brew update
brew upgrade --cask docker

Windows

1. 打开 Docker Desktop。
2. 进入设置页面。
3. 点击 Software updates。
4. 检查并安装最新版本。
5. 重启 Docker Desktop。

如果使用 winget：

winget upgrade Docker.DockerDesktop

八、升级后如何重启容器？

Docker 服务重启后，是否需要手动重启容器，取决于容器的重启策略。

查看容器重启策略：

docker inspect --format='{{.Name}} {{.HostConfig.RestartPolicy.Name}}' $(docker ps -aq)

如果容器配置了 always 或 unless-stopped，Docker 服务恢复后通常会自动拉起容器。

手动重启所有运行中的容器：

docker restart $(docker ps -q)

重启指定容器：

docker restart 容器名称或容器ID

如果使用 Docker Compose：

docker compose ps

docker compose up -d

旧版 Docker Compose 命令：

docker-compose ps
docker-compose up -d

九、修复后的验证步骤

漏洞修复不能只看“升级命令执行成功”，还需要完成以下验证。

1. 确认 Docker 服务正常

sudo systemctl is-active docker

如果输出为 active，说明 Docker 服务正在运行。

查看详细状态：

sudo systemctl status docker --no-pager

2. 测试容器运行能力

docker run --rm hello-world

如果能够正常输出 Docker 欢迎信息，说明基础运行能力正常。

3. 检查容器状态

docker ps

查看异常退出容器：

docker ps -a --filter "status=exited"

4. 查看 Docker 日志

sudo journalctl -u docker --since "30 minutes ago" --no-pager

如果发现报错，需要根据日志排查配置、镜像、网络或存储驱动问题。

5. 检查业务端口

查看监听端口：

sudo ss -tulnp

或：

sudo netstat -tulnp

检查某个服务端口是否可访问：

curl -I http://127.0.0.1:端口号

十、漏洞修复后的安全加固建议

升级版本只是基础操作，建议同时完成 Docker 安全加固，降低后续风险。

1. 避免暴露 Docker Socket

不要随意将 /var/run/docker.sock 挂载到容器中。例如以下配置存在较高风险：

-v /var/run/docker.sock:/var/run/docker.sock

一旦容器被攻破，攻击者可能通过 Docker Socket 控制宿主机上的 Docker。

2. 不要使用特权容器

尽量避免使用：

--privileged

如果必须使用，应明确业务原因，并限制该容器的网络、挂载目录和访问权限。

3. 使用非 root 用户运行容器

Dockerfile 中建议指定普通用户：

USER app

运行容器时也可以指定用户：

docker run --user 1000:1000 镜像名

4. 限制容器资源

为容器设置 CPU 和内存限制，避免单个容器耗尽宿主机资源：

docker run -d --memory=512m --cpus=1 镜像名

5. 开启镜像漏洞扫描

可以使用以下工具进行镜像安全扫描：

docker scout cves 镜像名

也可以使用 Trivy：

trivy image 镜像名

6. 定期清理无用镜像和容器

查看磁盘占用：

docker system df

清理无用资源：

docker system prune

谨慎清理所有未使用镜像：

docker system prune -a

注意：生产环境执行清理命令前，一定要确认不会删除后续需要回滚或重新启动的镜像。

十一、常见问题排查

问题 1：升级后 Docker 无法启动

查看日志：

sudo journalctl -u docker -xe --no-pager

检查配置文件：

sudo dockerd --validate --config-file /etc/docker/daemon.json

如果是 daemon.json 格式错误，常见原因是 JSON 多了逗号、少了引号或括号不匹配。

问题 2：升级后容器没有自动启动

查看容器重启策略：

docker inspect --format='{{.Name}} {{.HostConfig.RestartPolicy.Name}}' $(docker ps -aq)

设置容器自动重启：

docker update --restart=unless-stopped 容器名称或容器ID

问题 3：升级后业务无法访问

检查容器是否运行：

docker ps

检查端口映射：

docker port 容器名称或容器ID

检查容器日志：

docker logs --tail=100 容器名称或容器ID

检查防火墙：

sudo iptables -L -n

或：

sudo firewall-cmd --list-all

问题 4：containerd 或 runc 版本仍然较旧

有些系统的 Docker、containerd、runc 来自不同软件源，升级 Docker Engine 不一定同步升级所有组件。可以先查看安装来源：

apt-cache policy containerd.io runc

或：

yum info containerd.io runc

然后根据发行版安全公告选择正确的软件源和修复版本。

十二、生产环境推荐修复流程

如果是在生产环境中修复 Docker 漏洞，建议按照以下流程执行：

1. 确认漏洞影响范围
   记录 Docker、containerd、runc、操作系统版本，并对照安全公告确认是否受影响。

2. 制定变更窗口
   Docker 重启可能导致容器短暂中断，应提前安排低峰期操作。

3. 完成备份
   至少备份 Docker 配置、Compose 文件、关键挂载目录和数据库数据。

4. 先在测试环境验证
   使用相同系统版本和类似业务容器进行升级演练。

5. 执行升级命令
   通过包管理器升级 Docker 及相关组件。

6. 重启 Docker 服务
   确认 Docker 服务恢复正常，容器按预期启动。

7. 验证业务功能
   检查端口、日志、健康检查、接口响应和监控指标。

8. 记录变更结果
   记录升级前后版本、执行命令、验证结果和异常处理方式。

十三、一键检查常用命令汇总

以下命令适合在修复前后快速检查环境状态：

docker version
docker --version
containerd --version
runc --version
docker ps
docker images
docker system df
sudo systemctl status docker --no-pager
sudo journalctl -u docker --since "30 minutes ago" --no-pager

Ubuntu / Debian 升级命令：

sudo apt update
sudo apt install --only-upgrade docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo systemctl restart docker

CentOS / RHEL / Rocky Linux / AlmaLinux 升级命令：

sudo yum update docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo systemctl restart docker

或：

sudo dnf update docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo systemctl restart docker

结语

Docker 漏洞修复的核心并不是简单执行一条升级命令，而是要形成完整闭环：确认版本、评估影响、备份数据、升级组件、重启服务、验证业务、加强安全配置。对于生产环境而言，任何涉及 Docker Engine、containerd、runc 的更新都可能影响容器运行状态，因此务必提前规划变更窗口，并做好回滚准备。

建议企业将 Docker 安全维护纳入日常运维流程，定期检查 Docker 版本、镜像漏洞、容器权限、Socket 暴露情况和运行时配置。只有把漏洞修复和安全加固结合起来，才能真正降低容器环境被攻击的风险，保障业务系统长期稳定运行。