Dotaz: Fedora 20 - jak stáhnout pouze bezpečnostní aktualizace ?

[boycottsystemd]

Je možné v Fedoře 20 stáhnout pouze bezpečnostní aktualizace pomocí yum --security update ?

Odpovědi

[Pavel Stárek]

Nainstalovat Yumí plugin: yum install yum-plugin-security a pak třeba yum update --cve, nebo yum update --security

[boycottsystemd]

Ano, tento plugin mám, používám příkaz yum --security update

Problém je, že nedávno tento příkaz nenabídl aktualizaci flash-plugin-11.2.202.394-release.x86_64

Tento update opravuje chybu, kterou Adobe označil jako kritickou. Když jsem se ptal na fóru Fedory na vysvětlení, tak tam mj. někdo odpověděl, že u repository třetích stran není možný dát flag "security", někdo napsal, že je to kvůli "Reluctant third party repo maintainers/packagers." Bylo mě doporučeno, že nejbezpečnější způsob, jak stáhnout všechny bezpečnostní aktualizace, je stáhnout všechny aktualizace.

Na co je potom yum --security update , když nemusí stáhnout všechny bezpečnostní aktualizace ?

Jestliže někdo používá tento příkaz a neví, že nestáhne všechny bezpečnostní aktualizace, výsledek je nezabezpečený systém.

Je to OK ?

[Pavel Stárek]

Osobně nevím, jak do balíčku balíčkáři vkládají informaci o tom, že je balíček "security updatem". Jestli něco vloží do changelogu, nebo do nějakých jiných metadat? Nevím. Ale něco asi ano, aby to ten yum plugin security poznal. Pokud ovšem balíčkář od Adobe tuto informaci do balíčku nevloží, tak ten plugin to prostě nepozná. To vskutku není záležitostí Fedory (jako celku) nebo dokonce yumu. Je to prostě balíček od třetí strany. Můžeš použít nejprve yum update --security a pak yum update flash-plugin

[jmeno]

Pokud ovšem balíčkář od Adobe tuto informaci do balíčku nevloží, tak ten plugin to prostě nepozná. To vskutku není záležitostí Fedory (jako celku) nebo dokonce yumu. Je to prostě balíček od třetí strany.

Nemělo by se aspoň o tom něco napsat do dokumentace ?

Můžeš použít nejprve yum update --security a pak yum update flash-plugin

A co updaty z jiných repozitářů ?

[Chulda]

Proč to není OK? Ten plugin pracuje s bugzillou RH (RHEL nebo fedora). Z principu tak nemůže pracovat s cizím výrobcem, pokud nepoužívá jejich bugzillu.

Asi by mohli dát do dokumentace varování, že s ničím jiným to nepracuje (tedy ani s repo 3. stran)

U windows se taky nerozčilujete, že windows update neupdatoval SW instalovaný odjinud (namísto windows lze dosadit android, OS X apod)

[jmeno]

Proč to není OK?

Protože v dokumentaci není napsáno, že yum update --security nefunguje pro cizí repozitáře. Co se asi stane, když někdo bude používat pouze yum update --security ?

Asi by mohli dát do dokumentace varování, že s ničím jiným to nepracuje (tedy ani s repo 3. stran)

Taky si myslím. Ovšem na fedora fóru v tom žádnej problém nevidí, odbíhají od tématu.

U windows se taky nerozčilujete, že windows update neupdatoval SW instalovaný odjinud (namísto windows lze dosadit android, OS X apod)

Ve Win je obdoba yumu, že to chcete srovnávat ? Není tam uvedeno, že se aktualizujou pouze MS věci ?

[Guru Jarda]

Seš naprostej troll. Nekrmit.

[Administrator poradny]

Jsi jak malý Jarda, buď odpověz nebo aspoń u toho nepiš ten titul.

[Pavel Stárek]

Protože v dokumentaci není napsáno, že yum update --security nefunguje pro cizí repozitáře.

Už si nahlásil bug?

Co se asi stane, když někdo bude používat pouze yum update --security ?

Stáhnou se mu jenom balíčky které mají v metedataách vyplněno CVE. Pokud na to balíčkáři ostatních repozitářů a třetích stran kašlou, samozřejmě se mu nestáhnou a nezaktualizují.

[boycottsystemd]

Už si nahlásil bug?

Chystám se, ale ještě čekám co napíšou na fedora fóru (jestli to je opravdu bug).

Je fajn, že to řešijou inteligentně, bez urážek.

[boycottsystemd]

Už si nahlásil bug?

Jo

[Kramář]

To nemá smysl. Fedora je minoritní distribuce bez větších ambicí, jejíž vývojáři jsou hluboce odtrženi od reality.

[boycottsystemd]

Můžeš(-te) napsat, proč konkrétně si to myslíš(-te) ?

[Ivan Mládek]

Takový bug bych ani neřešil, ale vyhnul se takovému distru obloukem.

footer: Country je můj život, kdo mu nerozumí, asi ani mě nepochopí!

[boycottsystemd]

... ale vyhnul se takovému distru obloukem.

Můžeš(-te) napsat, proč konkrétně si to myslíš(-te) ?

[Chulda]

Na druhou stranu je tam napsáno, že to musí mít CVE nebo ticket apod. v RH bugzille. Co se stane, když někdo nebude číst dokumentaci?

Ano, když se nad tím zamyslíte, tak je jasné, že cizí repozitáře s tím z principu nemohou fungovat.

To nebylo o "yum", ale o principu - stáhnou se bezpečnostní updaty z jejich zdroje. Že instalátor umí používat i jiné zdroje, není problém pluginu, který je navržen jen pro použití svých zdrojů.

[boycottsystemd]

Na druhou stranu je tam napsáno, že to musí mít CVE nebo ticket apod. v RH bugzille.

Kde je to napsáno ?

Ano, když se nad tím zamyslíte, tak je jasné, že cizí repozitáře s tím z principu nemohou fungovat.

Proč by cizí repozitáře z principu nemohly mít balíčky se stejnou strukturou jako repozitáře Fedory a proč by nemohly být označovány bezpečnostní updaty ?

[Chulda]

Ve fedoře mi man stránky k tomuto chybí, takže je jen web:

http://docs.fedoraproject.org/en-US/Fedora/html/Security_Guide/sect-Security_Guide-CVE-yum_plugin-using_yum_plugin_security.html

popisuje použití "yum list-sec", jako "...also lists Red Hat’s advisory ID number and the classification of each update as “enhancement”, “bugfix”, or “security”:"

Později je, že "apply all security-related updates only: yum update --security".

IMO je odvážné vyvozovat, že se jedná o jiné security updaty než ty od RH.

Na druhou stranu v nějaké diskuzi i knowledgebase RH je uvedeno, že tyto informace mají být uloženy v updateinfo.xml.gz repozitáře (má mít třeba EPEL). Pak by problém s repozitářem adobe by byl plně v režii adobe.

[boycottsystemd]

IMO je odvážné vyvozovat, že se jedná o jiné security updaty než ty od RH.

Přiznávám, že nemám tolik znalostí, abych to dokázal posoudit. Co všechno si musí např. nováček pročíst, aby mohl bezpečně používat Fedoru ? Je někde seznam linků ?

Nebylo by lepší, kdyby tam bylo výslovně uvedeno, pro jaké balíčky to platí / neplatí ?

Jaký je teda správný postup pro stažení všech bezpečnostních aktualizací ze všech cizích repozitářů ?

[Pavel Stárek]

Je to napsáno ve Fedora Packaging Guidelines:

If an update to your package resolves a known security concern (at the time of the update) with a Common Vulnerabilities and Exposures (CVE) number assigned to it, you should mention the CVE number in the RPM changelog entry.