O GNOME adia atualizações que não são de segurança - isso reduz a segurança dos aplicativos de terceiros atuais?

Question

O GNOME Software adia as atualizações que não são "importantes" por uma semana. Isso ajuda a evitar usuários sobrecarregados no Fedora, particularmente.

O Fedora marca as atualizações com correções de segurança especialmente . (O Debian e o Ubuntu também lidam com isso, colocando atualizações de segurança em um repositório separado).

Mas e o software voltado para a Internet de repositórios de terceiros? Pessoalmente, estou pensando nos repos populares google-chrome e rpmfusion (para software de mídia).

O Google está se preocupando em definir esses detalhes em todas as distribuições linux que eles suportam? Os pacotes rpmfusion que eu vejo com changelogs como Atualizar para 3.0.0 - snapshot 20160614 , realmente revisando as alterações do upstream para correções de segurança e marcando as atualizações correspondentes?

if (has_important_updates (apps) ||
    no_updates_for_a_week (monitor)) {
    notify_offline_update_available (monitor);
}

    

Answer 1

Parece que esta suspeita está correta:

dnf -q updateinfo list installed sec mostra apenas pacotes do Fedora. Isto apesar de ter instalado pacotes de ambos os repositórios google-chrome e rpmfusion. dnf updateinfo info -v installed google-chrome-stable está simplesmente em branco, enquanto o mesmo comando para o pacote kernel inclui Type: security e uma lista de bugs fixos, incluindo CVEs (bugs de segurança registrados globalmente).

Estou certo de que devem ser atualizações de segurança aqui. As versões dos navegadores da Web sempre incluem novas atualizações de segurança e a versão atual do O Google Chrome não é exceção.

Eu ficaria surpreso ao descobrir que o RPMFusion está indo melhor que o Google.

Olhando para o código-fonte, o GNOME Software procura por atualizações de segurança e também por atualizações "importantes". O Google Chrome não está sendo marcado como uma atualização de segurança. O plugin libhif (para o pacote de pacotes no Fedora) não parece marcar nenhuma atualização como "Importante".