| Pachet | Versiune | |
|---|---|---|
| libssl3 | 3.0.2-0ubuntu1.12 → 3.0.2-0ubuntu1.15 | security |
| openssl | 3.0.2-0ubuntu1.12 → 3.0.2-0ubuntu1.15 | security |
| curl | 7.81.0-1ubuntu1.14 → 7.81.0-1ubuntu1.16 | security |
sudo apt update && sudo apt upgrade. După actualizarea nucleului este necesară o repornire.Pagina enumeră actualizările de securitate care așteaptă, separate de actualizările obișnuite de pachete, împreună cu informația dacă actualizările nesupravegheate sunt configurate și când au rulat ultima dată.
Câmpul care cântărește mai mult decât orice listă de pachete este indicatorul de repornire necesară. Actualizările de kernel și de biblioteci esențiale se instalează cu succes și nu fac nimic până când mașina nu repornește: un server poate fi, așadar, complet peticit după orice raport și să ruleze în continuare codul vulnerabil în memorie. Timpul de funcționare nu este o realizare pe o mașină care poartă de două sute de zile un petic de kernel neaplicat.
Actualizările nesupravegheate merită activate pe aproape orice server, cu două ajustări: limitează-le la arhiva de securitate în loc de toate actualizările și stabilește o fereastră de mentenanță, ca repornirile să aibă loc când decizi tu. Scenariul de care ne temem — o actualizare automată care strică nesupravegheat un serviciu — este mult mai rar decât alternativa, adică o vulnerabilitate cunoscută lăsată nepeticită luni întregi fiindcă nimeni nu a avut timp.
Aceste actualizări sunt instalate de unattended-upgrades, iar munca nu se încheie cu instalarea. Pachetele modifică fișiere pe disc, așa că următoarea rulare a AIDE și debsums va semnala diferențe — legitime, dar care merită parcurse pentru a deosebi schimbările proprii de ale altcuiva. Serviciile repornite merită o privire separată: Monit îl va observa pe cel care nu a revenit. Iar faptul în sine că actualizările automate sunt pornite îl socotește Lynis la hardening index — unul dintre puținele puncte care ridică nota și chiar micșorează riscul.