需通过rpm命令查版本、uos-security-check工具扫描、官网公告比对、更新日志追溯及服务运行时验证五步交叉确认。先执行rpm -q openssh-server等获取本地版本，再用uos-security-check --query cve编号检测修复状态，同步核对麒麟安全公告中修复版本与架构匹配性，检查yum history确认安装成功，并重启服务后用ssh -v和ldd验证运行时版本是否生效。

如果您需要确认麒麟操作系统当前是否已安装指定安全补丁，或验证某CVE漏洞是否已被修复，则需通过系统级命令与官方公告交叉比对。以下是查询系统安全补丁状态与漏洞修复情况的具体操作路径：

一、使用rpm命令核查已安装补丁包版本

该方法直接读取本地已安装软件包的版本号，用于与官方公布的修复版本进行比对，是验证补丁是否生效的最基础手段。

1、打开终端，执行命令查看当前openssh软件包完整版本信息：
rpm -qa | grep openssh

2、若需精确匹配特定CVE对应的修复版本（如CVE-2023-38408要求openssh≥8.2p1-16.p08.ky10），执行：
rpm -q openssh-server --queryformat "%{VERSION}-%{RELEASE}\n"

3、对libvpx等其他受影响组件，分别运行：
rpm -q libvpx --queryformat "%{VERSION}-%{RELEASE}\n"
rpm -q libvpx-devel --queryformat "%{VERSION}-%{RELEASE}\n"

二、调用uos-security-check工具（兼容麒麟V10 SP3及后续版本）

该工具为国产系统内置的安全检测模块，可自动关联本地软件版本与CVE数据库，输出结构化漏洞匹配结果，支持离线环境配置后使用。

1、检查工具是否存在：
which uos-security-check

2、执行全量CVE扫描：
sudo uos-security-check --cve

3、针对单个CVE编号查询是否受影响及修复状态：
sudo uos-security-check --query CVE-2023-48795

4、若提示“未连接到更新服务器”，需先配置代理或加载离线数据库，具体路径参见《离线环境安全更新指南》中“数据库导入”章节。

三、访问麒麟安全公告中心进行人工比对

官网公告提供权威的漏洞影响范围、修复版本列表与补丁下载地址，适用于无法联网执行命令的生产环境或需获取补丁文件本身的情形。

1、在浏览器中打开麒麟漏洞公告网：
https://www.kylinos.cn/security/notice/

2、在搜索框输入组合关键词，例如：
kernel:5.4.0-135 CVE-2024-1086

3、在结果页中定位对应公告，核对“修复版本”栏中列出的软件包版本是否与本地rpm查询结果一致。

4、点击“受影响软件包”展开列表，确认当前系统架构（aarch64/x86_64）及版本号均在修复范围内。

四、检查系统更新历史记录

通过分析yum/dnf历史操作日志，可追溯补丁安装时间、包名及事务ID，适用于审计场景或需复现修复过程的情形。

1、列出最近10条更新事务：
sudo yum history list | head -10

2、查看指定事务详情（以ID 123为例）：
sudo yum history info 123

3、在输出中查找包含“openssh”、“libvpx”或“kernel”的行，确认其升级动作与版本号是否匹配公告要求。

4、若事务状态为“Failed”或“Erased”，则表明该次补丁安装未成功，需重新执行rpm -Uvh命令安装。

五、验证关键服务运行时版本

部分补丁需重启服务或系统方可生效，仅检查软件包版本不足以确认修复完成，必须验证运行中进程实际加载的版本。

1、重启openssh服务：
sudo systemctl restart sshd

2、检查sshd进程所链接的动态库版本：
ldd $(which sshd) | grep libvpx

3、连接本机SSH并获取服务端版本标识：
ssh -V

4、若输出中显示版本号低于公告修复版本（如显示OpenSSH_8.2p1 但公告要求≥8.2p1-16.p17.ky10），说明补丁未正确加载，需检查是否遗漏核外补丁包安装步骤。