CentOS 7 常见的安全补丁有 kernel glibc sudo polkit 等等，下文通过描述一种离线升级的方式

1. 使用 docker 

docker run -ti -v /c7:/c7 centos:7 bash

yum install --downloadonly --downloaddir=/c7  kernel glibc sudo polkit 

2.  不使用docker，在一台可以上网的电脑上，执行：
mkdir -p /c7/etc/yum.repos.d

echo  -e "[co]\nname=co\nenabled=0\ngpgcheck=0\nbaseurl=https://mirrors.163.com/centos/7/os/$(uname -m)\n[cu]\nname=cu\nenabled=0\ngpgcheck=0\nbaseurl=https://mirrors.163.com/centos/7/updates/$(uname -m)\n" > /c7/etc/yum.repos.d/c7_$(uname -m).repo;

yum install -y --installroot=/c7 --releasever=/ --setopt=tsflags=nodocs  \
--downloadonly --downloaddir=/c7/rpm  --disablerepo=*   --enablerepo=co,cu \
--setopt=install_weak_deps=false  \
kernel glibc sudo polkit openssl openssl-devel \