☰

내가 위험에 처해 있나요? Debscan 취약점 출력을 해석하는 방법은 무엇입니까?

tag-icon • tag-icon debian security upgrade
내가 위험에 처해 있나요? Debscan 취약점 출력을 해석하는 방법은 무엇입니까?

오늘 나는 방법에 대한 단락을 보았습니다.취약점 식별

debsecan말하는. 나다운로드처형되었고 debsecan그 결과 매우 오랜 시간 동안충격적인 보고서.

편집하다

  • 나는 달렸다debsecan --suite=stretch
  • 저는 커널 4.9.0-9-amd64와 함께 debianstretch 9.9를 실행하고 있습니다.
  • 내 소스 목록에는 다음이 포함됩니다.
deb http://ftp.stw-bonn.de/debian/ 메인 라인을 늘립니다.
deb-src http://ftp.stw-bonn.de/debian/ 메인라인 확장

뎁 http://security.debian.org/debian-securitystretch/updates 메인
deb-src http://security.debian.org/debian-securitystretch/updates 메인

# 이전에 "휘발성"으로 알려진 확장 업데이트
뎁 http://ftp.stw-bonn.de/debian/stretch-updates 메인
deb-src http://ftp.stw-bonn.de/debian/stretch-updates 메인


# 백포트 ### 백포트에서 패키지를 설치하려면: apt-get -tstretch-backports install "package"
deb http://deb.debian.org/debian Stretch-backports 메인

apt update && apt -y upgrade첫째, 사용하는 것만 으로도 최신 상태를 유지하기에 충분하다고 생각합니다 . 그러나 debsecan에 대해 살펴보면 알려진 취약점, 특히 긴급성이 높은 도구가 너무 많아서 그렇지 않은 것 같습니다. 몇 가지만 언급하자면: busybox, unrar, multiarch-support, bsdutils, mount, login, util-linux...

그럼 내가확인됨예를 들어 CVE-2016-2779 util-linux(높은 긴급 상황)입니다.

버그 추적기

security-tracker.debian.org와 관련하여 버전 2.33.1-0.1(buster, sid)에 수정 사항이 있습니다.

그래서 어떻게든 패키지를 업그레이드할 수 있기를 바랍니다.

이를 달성할 수 있는 방법에 대한 제안 사항이 있습니까? 나는 시도했지만 apt-get -t stretch-backports install util-linux도움이 되지 않았습니다.

읽으면서 옵션으로 debian-testing으로 업그레이드할 수 있습니다. 다른 옵션이 있나요?

내 이름에서 알 수 있듯이 저는 Linux를 처음 접했습니다. 이것은 나에게 모두 새로운 것입니다. 어제까지는 내 컴퓨터가 항상 최신 상태일 것이라고 생각했는데, 지금은 그렇지 않다는 것을 알게 되었습니다.

사람들이 우분투 설치에서 debsecan을 사용하지 말라고 지적했기 때문에 제 질문을 편집했습니다. debsecan은 우분투 저장소에서 apt를 사용하여 다운로드할 수 있지만 우분투 내부에서 사용하기 위한 것이 아니기 때문입니다. 배포판에 사용하기에 적합하지 않은 도구를 다운로드할 수 있는 이유가 확실하지 않지만 괜찮습니다.

답변1

debsecan일련의 사용데이터 베이스취약점 및 수정 사항 가용성을 문서화합니다. 그러나 이러한 데이터베이스는 데비안 패키지에만 사용할 수 있습니다. Ubuntu 시스템에서 실행하는 경우 결과에는 최소한 특정 Ubuntu 버전에서 해결된 보안 문제가 고려되지 않습니다.예를 들어QEMU는 Debian 버전과 별도로 Ubuntu의 보안 버전을 받습니다.

Debian에서는 debsecan이 --suite옵션이나 해당 패키지 구성을 사용하여 구성할 수 있습니다(Ubuntu에서도 를 사용하여 설치하여 볼 수 있음 sudo apt install debsecan). 사용 중인 버전을 추적하려면 필수 정보가 Ubuntu 버전에 적용되지 않으므로 debsecan사용할 수 없습니다. 우분투도 마찬가지다.

보고서에 나열된 모든 CVE를 살펴보면 대부분(및 모든 중요한 CVE)을 찾을 수 있을 것입니다.예해당 문제는 Ubuntu 버전에서 수정되었지만 debsecan수정 사항은 알려져 있지 않습니다. 지원되는 Ubuntu 버전을 사용하고 있습니다. apt update && apt upgrade이는 최신 상태를 유지하는 데 충분하며(항상 발견되지 않은 취약점과 발견 및 수정 사이의 기간이 짧을 위험이 있음) 잘못된 구성으로 인해 발생할 수 있습니다. 이는 모든 배포에 해당됩니다.)

답변2

Ubuntu를 사용 하려는 경우 debsecan비공식 취약성 데이터베이스 세트(Ubuntu CVE Tracker의 데이터를 사용하여 구축됨)가 있습니다.

이러한 비공식 데이터베이스는 다음에서 호스팅됩니다.이 Github 프로젝트그리고 6시간마다 자동으로 업데이트됩니다.

Readme에 나와 있듯이 Ubuntu 설치에서 다음 명령을 실행하면 됩니다.

$ debsecan --suite $(lsb_release --codename --short) --source https://raw.githubusercontent.com/BBVA/ust2dsa/data/

추신: 저는 이 프로젝트의 저자 중 한 명입니다.

관련 정보