☰

как я могу быть уверен, что моя система обновлена ​​до последних обновлений безопасности?

tag-icon • tag-icon apt security update-manager 21.04
как я могу быть уверен, что моя система обновлена ​​до последних обновлений безопасности?

Я подписан на рассылку ubuntu-security-announce. Я получаю несколько писем, в которых упоминается, что в версии 21.04 есть некоторые ошибки, например:

[USN-4929-1] Уязвимости привязки [USN-4913-2] Уязвимость подчеркивания

Однако с тех пор, как я обновил свою систему с 20.10 до 21.04 (4 дня назад), я так и не получил никаких обновлений, хотя я использую Software Updater и Pakcage Updater, но не получил вообще никаких обновлений.

не могли бы вы мне помочь? возможно, что-то не так с моей системой.

решение1

Во-первых,не все USN повлияют на вашу среду. Так же, как уязвимость в Microsoft Office затрагивает только тех людей, у которых установлена ​​эта версия Microsoft Office, она не затронет тех, у кого в системах не установлен Microsoft Office. (да, пример с Windows, но суть все равно остается).

В результате выобновления для исправлений безопасности в вашей ОС будут получаться только в том случае, если исправления имеются и доступны. Это НЕ означает, что каждый USN, который вы видите, повлияет на вас. И этоне необычноне видеть обновлений в течение нескольких дней после обновления, потому что для установленных вами пакетов еще не было выпущено ни одного. Дайте время, и вы начнете регулярно получать обновления пакетов. То, что вы не видите обновлений, не означает, что вы "не защищены" - это просто означает, что вы не используете ничего, что еще не получило исправления безопасности, что совершенно нормально.

А пока давайте рассмотрим USN, о которых вы говорите, и к чему они применяются.

USN-4929-1- Уязвимости BIND

Первоначальный выпуск информации об уязвимости от ISC: 28 апреля 2021 г. Первоначальное исправление от команды безопасности Ubuntu: 29 апреля 2021 г.

Это устраняет уязвимости в bind9программном обеспечении, а именно в программном обеспечении DNS-сервера.

Если вы не используете BIND9 для запуска DNS-серверов в своих средах, вас это не затронет. Вот почему это не будет отображаться в вашем списке обновлений. Большинство людей не используют BIND9 на своих личных системах, а в большей или меньшей степени используют его в серверной среде в корпоративном мире, поэтому это, скорее всего, вас не затронет.

USN-4913-1и-2: Подчеркнуть уязвимости

Первоначальное исправление от команды безопасности Ubuntu: 28 апреля 2021 г.

Это устраняет уязвимости, в частности, в пакете и исходном пакете underscore- «Библиотека поддержки функционального программирования JavaScript».

Если у вас это приложение не установлено, вы не будете получать обновления.

Вы можете проверить, есть ли у вас обновления для этого, используя dpkg -s libjs-underscore nodejs-underscore. Если они у вас установлены и версии не ниже, 1.9.1-dfsg-1ubuntu0.21.04.1то все в порядке, и вам не о чем беспокоиться. Однако, если у вас они не установлены, вас это не затронет.

решение2

Проконсультируйтесь с официальными источниками

Страница объявлений об упомянутой вами уязвимости по адресуubuntu.comпоказывает, что делать:

Проблему можно устранить, обновив систему до следующих версий пакетов:

libjs-underscore - 1.9.1~dfsg-1ubuntu0.21.04.1
node-underscore - 1.9.1~dfsg-1ubuntu0.21.04.1

Как правило, стандартное обновление системы вносит все необходимые изменения.

Делайте то, что вам говорят официальные источники.

В общем, выполните стандартное обновление системы. После этого вы можете проверить, какая версия проблемных пакетов у вас установлена ​​локально, например, с помощью

dpkg -s libjs-underscore | grep Version

Предостережения

В общем случае это справедливо, новсегда есть исключения и индивидуальные ситуации. Поэтому, в зависимости от желаемого уровня доверия, вы можете захотеть исследовать дополнительные возможности и последствия. Например, уязвимость могла уже быть использована в вашей системе, и вредоносная программа скрывает себя различными способами, например, манипулируя выводом Version.Никогда нельзя быть уверенным на 100%, но лучше всего наблюдать и оценивать:

  • Каков риск реализации уязвимости в моей системе? Вы использовали уязвимые системы?
  • Как вы будете измерять заражение? Сколько это будет стоить?
  • Какова стоимость по сравнению с другими мерами, например, полной заменой системы на надежную?
  • и т. д.

Связанный контент