Zarządzanie poprawkami bezpieczeństwa Red Hat

Red Hat

Firma Red Hat udostępnia dla systemów zarejestrowanych w RHN (Red Hat Network) szereg poprawek i łatek bezpieczeństwa, które powinniśmy aplikować do naszego systemu możliwie często. Łatki ze względu na funkcjonalności jakie ze sobą niosą podzielone są na trzy kategorie:

* RHSA (Red Hat Security Advisory) - poprawiające wykryte luki bezpieczeństwa, powinno się je aplikować ASAP, i traktować jako krytyczne
* RHBA (Red Hat Bug Fix Advisory) - poprawiające luki nie związane z bezpieczeństwem systemu - aplikacja ich jest zalecana, ale nie tak krytyczna jak w przypadku RHSA
* RHEA (Red Hat Enhancement Advisory) - dostarczające usprawnienia do elementów systemu.

Do zarządzania łatkami oraz ich aplikacji używać będziemy wtyczki do yum o nazwie yum-plugin-security

Wtyczkę instalujemy jak każdy inny pakiet:

[root@server ~]# yum install yum-plugin-security

Opis, ze względów technicznych (moje ćwiczenia odbywają się na CentOS, któy nie ma dostępu do RHN) nie będzie zawierał faktycznych zrzutów wyników działania poszczególnych komend, a jedynie polecenia, którymi należy posługiwać się przy zarządzaniu poprawkami.

W pierwszej kolejności pobierzemy informację o dostępnych poprawkach:

yum updateinfo

Do uzyskania informacji o dostępnych poprawkach możemy użyć trzech operatorów:

yum updateinfo list
yum updateinfo info
yum updateinfo summary

Każda z komend może być również użyta w zależności od statusu poprawek w naszym systenie:

yum updateinfo * all
yum updateinfo * available
yum updateinfo * installed
yum updateinfo * updates

Weryfikacji ile pakietów wymaga zaaplikowania poprawek bezpieczeństwa możemy dokonać przy pomocy komendy:

yum --security list updates

Wyboru poprawek do instalacji możemy dokonywać na kilka sposobów, oczywiście poza klasyfikacją przedstawioną powyżej.

Każda z poprawek opatrzona jest identyfikatorem advisory ID (np. RHSA-2013:0689) i użycie tego identyfikatora pozwoli nam zainstalować konkretną poprawkę.

System umożliwia nam również instalację poprawek naprawiających konkretną podatność CVE (np: CVE-2012-6329).
Poszczególne podatności posiadają identyfikatory i umieszczene są w bazie CVE (http://cve.mitre.org/about/).

Kolejną możliwością może być użycie identyfikatora błędu Bugzilla ID.

yum updateinfo list --advisory=RHSA-2013:0689
yum updateinfo list --cve=CVE-2012-6329
yum updateinfo list --bz=123

Nic nie stoi na przeszkodzie, aby poszukać poprawek dla konkretnego pakietu zainstalowanego w systemie:

yum updateinfo list openldap

Jako, że nie mam możliwości zacytowania outputu komend w systemie, wymieniłem tylko przydatniejsze wariacje dotyczące zarządzania poprawkami.
W zarządzaniu tym przydatny będzie manual man yum-security w którym znajdziemy zarówno przykłady jak i opisy poszczególnych dostępnych opcji.