Обновления за сигурност

Чакащи кръпки и рестартът, който никой не прави

Тази страница изброява чакащите обновления за сигурност, отделени от обикновените обновления на пакети, заедно с това дали са настроени безнадзорни обновления и кога са се изпълнявали последно.

Полето, което тежи повече от какъвто и да било списък с пакети, е флагът за нужда от рестарт. Обновленията на ядрото и на основните библиотеки се инсталират успешно и не правят нищо, докато машината не се рестартира: значи един сървър може според всеки доклад да е напълно закърпен и въпреки това да изпълнява уязвимия код в паметта. Времето на работа не е постижение на машина, която от двеста дни носи неприложена кръпка за ядрото.

Безнадзорните обновления си струва да се включат на почти всеки сървър, с две уточнения: ограничете ги до архива за сигурност вместо до всички обновления и задайте прозорец за поддръжка, така че рестартите да стават, когато решите вие. Сценарият, от който се страхуваме — автоматично обновление, което без надзор счупва услуга — е далеч по-рядък от алтернативата, а именно известна уязвимост, оставена незакърпена с месеци, защото никой не е имал време.

Тези обновявания ги инсталира unattended-upgrades и работата не свършва с инсталацията. Пакетите променят файлове на диска, затова следващото минаване на AIDE и debsums ще покаже разлики — законни, но си струва да се прегледат, за да отличите своето от чуждото. Рестартираните услуги заслужават отделен поглед: Monit ще забележи онази, която не се е върнала. А самият факт на включени автоматични обновявания Lynis го зачита в hardening index — една от малкото точки, която вдига оценката и наистина намалява риска.