Como obter versão segura do software através do gerenciador de pacotes apt?

Question

Sou uma pessoa voltada para a segurança, normalmente quero garantir que a maioria dos pacotes de software que eu uso no meu sistema operacional permaneça segura.

Agora, suponha que exista um pacote chamado "sunshine" instalado no meu sistema (através do apt, é claro) e tenha uma versão vulnerável 8.70 , o aviso de segurança do ubuntu me diz 9.10 é a última versão vulnerável, mas depois que eu faço apt-get install --only-upgrade , eu ainda tenho "sol" em um número de versão vulnerável (abaixo de 9.10 ).

Isso é muito inseguro, certo? Eu encontrei este post que diz eles não atualizam a versão mais recente do software no repositório do sistema depois que uma versão do Ubuntu foi lançada oficialmente. No entanto, esse post era antigo, isso ainda é verdade?

    

Answer 1

Como você já leu, pacotes após serem liberados, serão colocados em estado congelado, mas você ainda terá atualizações para esse pacote em forma de correções de bugs e patches de segurança, o que significa que a equipe do Ubuntu corrigirá os problemas desse pacote sem o necessidade de atualizá-lo para a última versão, você pode usar:

apt changelog pkg-name

para ver o que foi feito na última atualização, por exemplo, aqui está o log de alterações do samba:

samba (2:4.3.11+dfsg-0ubuntu0.16.04.9) xenial-security; urgency=medium

  * SECURITY UPDATE: KDC-REP service name impersonation
    - debian/patches/CVE-2017-11103.patch: use encrypted service
      name rather than unencrypted (and therefore spoofable) version
      in heimdal
    - CVE-2017-11103

Se você inspecionar os logs de perto, verá a versão deles na mesma versão, mas muitas coisas estão sendo feitas, preste atenção na ATUALIZAÇÃO DE SEGURANÇA e na linha CVE.