| Pakiet | Wersja | |
|---|---|---|
| libssl3 | 3.0.2-0ubuntu1.12 → 3.0.2-0ubuntu1.15 | security |
| openssl | 3.0.2-0ubuntu1.12 → 3.0.2-0ubuntu1.15 | security |
| curl | 7.81.0-1ubuntu1.14 → 7.81.0-1ubuntu1.16 | security |
sudo apt update && sudo apt upgrade. Po aktualizacji jądra wymagany będzie ponowny rozruch.Ta strona wypisuje oczekujące aktualizacje bezpieczeństwa, oddzielone od zwykłych aktualizacji pakietów, wraz z informacją, czy skonfigurowano aktualizacje nienadzorowane i kiedy ostatnio się wykonały.
Polem ważniejszym niż jakakolwiek lista pakietów jest flaga wymaganego restartu. Aktualizacje jądra i kluczowych bibliotek instalują się pomyślnie i nie robią nic, dopóki maszyna nie zostanie uruchomiona ponownie: serwer może więc być w pełni załatany według każdego raportu i nadal wykonywać podatny kod w pamięci. Czas pracy nie jest osiągnięciem na maszynie, która od dwustu dni nosi w sobie niezastosowaną łatkę jądra.
Aktualizacje nienadzorowane warto włączyć na niemal każdym serwerze, z dwiema poprawkami: ogranicz je do archiwum bezpieczeństwa zamiast wszystkich aktualizacji i ustal okno serwisowe, żeby restarty następowały wtedy, kiedy sam zdecydujesz. Scenariusz, którego się obawiamy — automatyczna aktualizacja rozwalająca usługę bez nadzoru — zdarza się znacznie rzadziej niż wariant przeciwny, czyli znana podatność zostawiona bez łatki na miesiące, bo nikt nie miał czasu.
Te aktualizacje instaluje unattended-upgrades i na instalacji praca się nie kończy. Pakiety zmieniają pliki na dysku, więc najbliższy przebieg AIDE i debsums pokaże rozbieżności — uprawnione, ale warto je przejrzeć, żeby odróżnić własne zmiany od cudzych. Zrestartowane usługi zasługują na osobne spojrzenie: Monit zauważy tę, która nie wróciła. A sam fakt włączonych automatycznych aktualizacji Lynis zalicza do hardening index — jeden z niewielu punktów, który podnosi ocenę i naprawdę zmniejsza ryzyko.