Atualizações de segurança

Correções pendentes e o reinício que ninguém faz

Esta página lista as atualizações de segurança à espera, separadas das atualizações comuns de pacotes, juntamente com a informação de se as atualizações automáticas estão configuradas e quando correram pela última vez.

O campo que importa mais do que qualquer lista de pacotes é o indicador de reinício necessário. As atualizações do kernel e das bibliotecas centrais instalam-se corretamente e nada fazem enquanto a máquina não reiniciar: um servidor pode assim estar totalmente corrigido segundo todos os relatórios e continuar a executar em memória o código vulnerável. O uptime não é um feito numa máquina que arrasta há duzentos dias uma correção de kernel por aplicar.

As atualizações automáticas valem a pena em quase todos os servidores, com dois ajustes: limitá-las ao arquivo de segurança em vez de a todas as atualizações, e definir uma janela de manutenção para que os reinícios aconteçam quando o decidir. O cenário temido — uma atualização automática a partir um serviço sem vigilância — é bem mais raro do que a alternativa, que é uma vulnerabilidade conhecida deixada aberta durante meses porque ninguém teve tempo.

Estas actualizações são instaladas pelo unattended-upgrades, e o trabalho não termina na instalação. Os pacotes alteram ficheiros no disco, pelo que a passagem seguinte do AIDE e do debsums assinalará diferenças, legítimas, mas que vale a pena percorrer para distinguir o que é seu do que é alheio. Os serviços reiniciados merecem um olhar à parte: o Monit repara naquele que não voltou. E o próprio facto de as actualizações automáticas estarem activas, o Lynis conta-o para o hardening index — um dos poucos pontos que sobe a nota e reduz mesmo o risco.