Jak zaktualizować binutils, aby pobierać łatki bezpieczeństwa na Ubuntu Xenial

Mam kilka serwerów działających z Xenial (16.04 LTS). Uruchomiłem narzędzie do skanowania zabezpieczeń (AWS Inspector), które wyświetla listę niezałatanych luk w zabezpieczeniach CVE na serwerze. Wiele z nich dotyczy binutils, na przykład https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-6323.html

Widzę, że na tym kanonicznym linku powyżej aktualizacja pakietu jest oznaczona jako potrzebna, jednak:

sudo apt-get update
sudo apt-get upgrade --dry-run

Nie widzę łat. Niedawno uruchomiłem aktualizację, więc nic nowego do odebrania. Ale binutils nadal wywołuje alert i jest w wersji 2.26.1-1ubuntu1~16.04.8.

Czy istnieje sposób na uaktualnienie binutils, aby załatać te luki w Xenial? Czy to fałszywy alarm?

W tym przypadku „potrzebne” NIE oznacza „ Przesłaliśmy załatany pakiet i musisz go teraz zaktualizować ”.

Zamiast tego oznacza to: „ Ta łata nie została jeszcze zastosowana przez zespół bezpieczeństwa Ubuntu, ale znajduje się na naszej liście spraw ”.

Możesz to dwukrotnie sprawdzić za pomocą zwykłego starego apt-cache madison <packagename>polecenia. Madison zwróci bieżący pakiet dostępny z repozytoriów Ubuntu twojej wersji.

Na przykład oto, co jest dostępne w chwili, gdy napisałem to w Xenial (16.04):

binutils | 2.26-8ubuntu2             | xenial
binutils | 2.26.1-1ubuntu1~16.04.8   | xenial-security
binutils | 2.26.1-1ubuntu1~16.04.8   | xenial-updates

Możesz zobaczyć, że Twoja wersja 2.26.1-1ubuntu1~16.04.8jest najnowszą dostępną.

Większość ludzi nie musi instalować aktualizacji bezpieczeństwa, sprawdzając apt-cache i uruchamiając polecenia apt. Z pewnością możesz, jeśli chcesz, jest obsługiwany. Ale większość ludzi w powszechnym użyciu powinna korzystać z aplikacji Unattended Upgrades, która jest częścią domyślnej instalacji wszystkich wersji Ubuntu Desktop i Ubuntu Server. Codziennie będzie sprawdzać nowe aktualizacje w kieszeni -security i instaluje je bez żadnych problemów w tle.

Jeśli chcesz wiedzieć, kiedy konkretny pakiet był ostatnio aktualizowany, zarówno apt, jak i Unattended Upgades rejestrują całą aktywność w / var / log w łatwym do grep formacie.

Jedna uwaga na temat tego konkretnego CVE - zauważysz, że Zespół Bezpieczeństwa Ubuntu oznaczył priorytet jako „niski”. Jeśli Twoje audyty wciąż rzucają tę czerwoną flagę, upewnij się, że Twój kontroler wie, że ją śledzisz, ale ma ona niski priorytet. Jeśli wiesz coś o tym konkretnym wulkanie, którego Zespół Bezpieczeństwa Ubuntu przegapił, i uważasz, że zasługuje on na wyższy priorytet, skontaktuj się z Zespołem Bezpieczeństwa i przedyskutuj problem.

Zespół ds. Bezpieczeństwa z zadowoleniem przyjmuje testy i pomoc ochotników. Jeśli wolontariat mający na celu pomoc w pakowaniu i testowaniu poprawki o niskim priorytecie zdarza się również, aby oczyścić swoje audyty, tym lepiej. Jeśli zastanawiasz się, jak działa Zespół ds. Bezpieczeństwa, co robi i jak priorytetowo traktuje pracę, może się okazać, że podcast jest świetny.