Mises à jour de sécurité

Correctifs en attente et le redémarrage que personne ne fait

Cette page liste les mises à jour de sécurité en attente, séparées des mises à jour ordinaires, avec l’information de savoir si les unattended-upgrades sont configurées et quand elles ont tourné pour la dernière fois.

Le champ qui compte plus que n’importe quelle liste de paquets, c’est l’indicateur de redémarrage requis. Les mises à jour du noyau et des bibliothèques centrales s’installent correctement et ne font rien tant que la machine n’a pas redémarré : un serveur peut donc être parfaitement à jour selon tous les rapports et continuer d’exécuter le code vulnérable en mémoire. L’uptime n’est pas un exploit sur une machine qui traîne depuis deux cents jours un correctif noyau non appliqué.

Les unattended-upgrades valent la peine sur presque tous les serveurs, avec deux ajustements : les limiter à l’archive de sécurité plutôt qu’à toutes les mises à jour, et définir une fenêtre de maintenance pour que les redémarrages surviennent quand vous l’avez décidé. Le scénario redouté — une mise à jour automatique qui casse un service sans surveillance — est bien plus rare que l’alternative, à savoir une faille connue laissée ouverte des mois durant faute de temps.

Ces mises à jour sont installées par unattended-upgrades, et le travail ne s'arrête pas à l'installation. Les paquets modifient des fichiers sur le disque : le prochain passage d'AIDE et de debsums signalera donc des écarts, légitimes, mais qu'il vaut la peine de parcourir pour distinguer les vôtres de ceux d'un autre. Les services redémarrés méritent un regard à part : Monit repérera celui qui n'est pas revenu. Et le fait même d'avoir les mises à jour automatiques activées, Lynis le compte dans l'indice de durcissement — l'un des rares points qui relève la note tout en réduisant réellement le risque.