Как мне исправить / исправить CVE в пакете zbb Ubuntu, когда новая версия недоступна с помощью apt-get?

Вот как я сделал это для моего первого запуска.

Вот как я попал в соответствующие CVE. Затем

. Для меня «неопределенный» и «контекстно-зависимый» означает, что это довольно теоретическая атака. Это означало бы, что плохие парни с большим количеством денег хотели проникнуть в вас - в отличие от обычных плохих парней, которые хотят сломать кого-то. Только вы знаете, что лучше всего разместить ваши ресурсы.

Для моего случая были Chrome CVE (Chrome - основа для Node.js), которая не применима к моим вариантам использования, поэтому я проигнорировал их ждут восходящие исправления. Иногда были вещи, которые нуждались в исправлении сразу, поэтому:

Я рассмотрел некоторые другие ответы здесь - надеюсь, вы получите то, что ищете.

если у вас есть БНЭ, которые необходимо исправить, и это не фиксируется в официальных репозиториях для релиз вы используете, что Вы не должны сделать, это скачать и установить пакеты из произвольного будущем выпуске. Такие пакеты могут установить нормально, но нет никакой гарантии, что существующие другие существующие программы могут быть в состоянии взаимодействовать с ними. В Абис или API может измениться, может существенно, а может и нет. Тонкие изменения может быть достаточно, чтобы бросить трудно отлаживать баги. (если библиотека не загружается как положено, командной строки приложение может скинуть файл не найден ошибка, хотя файл команды, несомненно, существует!)

я бы предположил:

это гораздо более вероятно, для поддержания совместимости с другими компонентами операционной системы (поскольку сам исправить не что-нибудь сломать), в то время как все еще позволяя вам получить обновление, если обновление попадает в репозитории вашего освобождения. Таким образом, Вы можете гарантировать, что конкретное БНЭ вы хотите, чтобы исправить фиксируется как далеко, как вы можете сказать, что может быть в случае с пакета из произвольного будущем выпуске.

Без дополнительной информации о том, что вы хотите заплатить, и в каком кармане репозиториев Ubuntu, в котором находится программное обеспечение для данной версии, невозможно дать вам полный ответ, достаточно узкий.

Но я попытаюсь дать вам обзор того, как «исправлять» проблемы с безопасностью в пакетах Ubuntu.

Пакеты программного обеспечения в Main и вкладки, созданные сообществом во Вселенной , через $RELEASE-security репозитории

. Для патчей безопасности, представленных в пакетах пользователями для рассмотрения команды безопасности в пакетах Universe, и исправлений безопасности самой командой Security в пакетах Ubuntu Main, после их выпуска они доступны из $RELEASE-security (например, xenial-security) и $RELEASE-updates репозитории. Таким образом, вы можете просто сделать sudo apt-get update && sudo apt-get dist-upgrade и получить все исправления.

Отслеживание отдельных CVE в CVE Tracker позволит вам узнать, было ли у CVE исправление выпущено в Ubuntu еще как команда SEcurity определяет уровень приоритета CVE и то, как быстро он нуждается в решении (по умолчанию «Medium», независимо от серьезности CVE).

Пакеты программного обеспечения в Main, и вкладки, внесенные сообществом во Вселенной, через $RELEASE-security репозитории

Здесь у нас две проблемы. Во-первых, пакеты Universe получают только заплатки, когда сообщество предоставляет их команде безопасности для просмотра и просмотра. Во-вторых, большое количество пакетов в результате не обновляется.

У вас есть два решения для этих проблем: либо перекомпилируйте пакеты самостоятельно с исправлениями, либо дождитесь, когда обновление появится в репозиториях (или

Для первого решения вам нужно будет следовать CVE Tracker с шага 1-го шага 3.9, а затем шаги подробно описанный в разделе 6, если вы хотите отправить их для репозиториев и создать исправленные пакеты локально в своей системе и установить их.

Фактический процесс для этого очень сложный в зависимости от пакета, так что это

Пользовательское скомпилированное программное обеспечение

Ваша единственная надежда здесь - применить исправления к программному обеспечению самостоятельно и перекомпилировать и установить. Это относится ко всему, где программное обеспечение не включено в репозитории или в случаях, когда вы установили вещи, которые вы скомпилировали в первую очередь. Процесс для этого бесконечно разнообразен, поэтому на него невозможно ответить.

Вот как я сделал это для моего первого запуска.

Вот как я попал в соответствующие CVE. Затем

. Для меня «неопределенный» и «контекстно-зависимый» означает, что это довольно теоретическая атака. Это означало бы, что плохие парни с большим количеством денег хотели проникнуть в вас - в отличие от обычных плохих парней, которые хотят сломать кого-то. Только вы знаете, что лучше всего разместить ваши ресурсы.

Для моего случая были Chrome CVE (Chrome - основа для Node.js), которая не применима к моим вариантам использования, поэтому я проигнорировал их ждут восходящие исправления. Иногда были вещи, которые нуждались в исправлении сразу, поэтому:

Я рассмотрел некоторые другие ответы здесь - надеюсь, вы получите то, что ищете.

Если у вас есть CVE, который вы должны исправить, и он не исправлен в официальных репозиториях для выпуска, который вы используете, то вам не следует загружать и устанавливать пакеты из произвольной будущей версии. Такие пакеты могут быть установлены нормально, но нет никакой гарантии, что существующее другое существующее программное обеспечение может взаимодействовать с ними. Возможно, ABI или API изменились, возможно, значительно, возможно, нет. Тонких изменений может быть достаточно, чтобы вызывать жесткие ошибки. (если библиотека не загружается так, как ожидалось, приложение из командной строки может выдать ошибку, не найденную в файле, хотя файл команды явно существует!)

Я бы предложил следующее:

Это гораздо более вероятно, чтобы поддерживать совместимость с другими компонентами ОС (так как само исправление не нарушает что-то), но при этом позволяет обновлять, если обновление попадает в хранилища вашего выпуск. Таким образом, вы также можете гарантировать, что конкретный CVE, который вы хотите исправить, исправлен, насколько вы можете судить, что может быть не так с пакетом из какой-либо произвольной будущей версии.

Без дополнительной информации о том, что вы хотите заплатить, и в каком кармане репозиториев Ubuntu, в котором находится программное обеспечение для данной версии, невозможно дать вам полный ответ, достаточно узкий.

Но я попытаюсь дать вам обзор того, как «исправлять» проблемы с безопасностью в пакетах Ubuntu.

Пакеты программного обеспечения в Main и вкладки, созданные сообществом во Вселенной , через $RELEASE-security репозитории

. Для патчей безопасности, представленных в пакетах пользователями для рассмотрения команды безопасности в пакетах Universe, и исправлений безопасности самой командой Security в пакетах Ubuntu Main, после их выпуска они доступны из $RELEASE-security (например, xenial-security) и $RELEASE-updates репозитории. Таким образом, вы можете просто сделать sudo apt-get update && sudo apt-get dist-upgrade и получить все исправления.

Отслеживание отдельных CVE в CVE Tracker позволит вам узнать, было ли у CVE исправление выпущено в Ubuntu еще как команда SEcurity определяет уровень приоритета CVE и то, как быстро он нуждается в решении (по умолчанию «Medium», независимо от серьезности CVE).

Пакеты программного обеспечения в Main, и вкладки, внесенные сообществом во Вселенной, через $RELEASE-security репозитории

Здесь у нас две проблемы. Во-первых, пакеты Universe получают только заплатки, когда сообщество предоставляет их команде безопасности для просмотра и просмотра. Во-вторых, большое количество пакетов в результате не обновляется.

У вас есть два решения для этих проблем: либо перекомпилируйте пакеты самостоятельно с исправлениями, либо дождитесь, когда обновление появится в репозиториях (или

Для первого решения вам нужно будет следовать CVE Tracker с шага 1-го шага 3.9, а затем шаги подробно описанный в разделе 6, если вы хотите отправить их для репозиториев и создать исправленные пакеты локально в своей системе и установить их.

Фактический процесс для этого очень сложный в зависимости от пакета, так что это

Пользовательское скомпилированное программное обеспечение

Ваша единственная надежда здесь - применить исправления к программному обеспечению самостоятельно и перекомпилировать и установить. Это относится ко всему, где программное обеспечение не включено в репозитории или в случаях, когда вы установили вещи, которые вы скомпилировали в первую очередь. Процесс для этого бесконечно разнообразен, поэтому на него невозможно ответить.