Estou muito triste por ter descoberto que o plugin de segurança no CentOS7 é praticamente inútil
Sinto que o plugin de segurança do yum não está funcionando como reivindicado aqui
Por exemplo, eu sei que há um excelente CVE para o openssl no meu sistema
yum changelog 2017-01 openssl
Listing changelogs since 2017-01-06
==================== Available Packages ====================
1:openssl-1.0.1e-60.el7_3.1.x86_64 updates
* Mon Feb 6 07:00:00 2017 Tomáš Mráz <[email protected]> 1.0.1e-60.1
- fix CVE-2017-3731 - DoS via truncated packets with RC4-MD5 cipher
- fix CVE-2016-8610 - DoS of single-threaded servers via excessive alerts
changelog stats. 2 pkgs, 2 source pkgs, 1 changelog
Mas quando eu uso o plugin de segurança do yum para instalar o número CVE em particular, recebo "no packages"
sudo yum update --cve CVE-2017-3731
No packages needed for security; 629 packages available
Resolving Dependencies
Eu sei que estou executando uma versão mais antiga
sudo rpm -q openssl
openssl-1.0.1e-51.el7_2.5.x86_64
"yum info-sec" também deve listar a lista de mudanças com errata, mas o openssl com este CVE não está listado.
Quando eu executo "yum updateinfo info --cve" com o CVE mencionado acima, ele afirma que meu sistema não é vulnerável
yum updateinfo info --cve CVE-2017-3731
Loaded plugins: changelog, fastestmirror
updateinfo info done
Parece o mesmo para o kernel CVE e correções, eu não consigo confiar no plugin de segurança para escolher quaisquer CVEs recentes do kernel, como vaca suja ou dupla livre
[localhost ~]$ sudo yum update --advisory=RHSA-2017:0403
Loaded plugins: changelog, fastestmirror
Loading mirror speeds from cached hostfile
* base: mirror.lax.hugeserver.com
* epel: mirrors.kernel.org
* extras: centos.sonn.com
* updates: cosmos.illinois.edu
No packages needed for security; 629 packages available
Resolving Dependencies
[localhost ~]$ sudo yum updateinfo --advisory=RHSA-2017:0403
Loaded plugins: changelog, fastestmirror
updateinfo summary done
[localhost ~]$ sudo yum updateinfo RHSA-2017:0403
Loaded plugins: changelog, fastestmirror
updateinfo info done
Estou muito triste por ter descoberto que o plugin de segurança no CentOS7 é praticamente inútil
O plugin de segurança yum fará uso dos metadados de segurança encontrados nos repositórios yum.
Embora o repositório básico do CentOS realmente não forneça tais metadados, o repositório EPEL (o repositório de terceiros mais popular) faz isso.
Portanto, o plugin de segurança do yum não é totalmente inútil.