Почему версии пакетов устаревают и становятся недоступными?
Мы создаем образы докеров на основе Ubuntu xenial (я знаю EOL 04/21), и мы использовали curl = 7.47.0-1ubuntu2.14 и openssh-server = 1: 7.2p2-4ubuntu2.8 , и оба они теперь недоступны.
Пакет curl теперь curl = 7.47.0-1ubuntu2.15 и ssh-сервер openssh-server = 1: 7.2p2-4ubuntu2.10 . Мне интересно, почему это так и как два исходных пакета только что стали недоступны?
Есть ли способ получить старые пакеты, если это будет необходимо? Если да, то где?
2 ответа
Давайте воспользуемся запросом к базе данных пакетов rmadison и http://changelogs.ubuntu.com , чтобы выяснить, почему эти пакеты были заменены.
] Давайте сначала посмотрим на curl:
$ rmadison curl | grep xenial
curl | 7.47.0-1ubuntu2 | xenial | source, amd64, arm64, armhf, i386, powerpc, ppc64el, s390x
curl | 7.47.0-1ubuntu2.15 | xenial-security | source, amd64, arm64, armhf, i386, powerpc, ppc64el, s390x
curl | 7.47.0-1ubuntu2.15 | xenial-updates | source, amd64, arm64, armhf, i386, powerpc, ppc64el, s390x
Ага: Видите, как -security и -updates выпускают 2.15? Значит, скорее всего, это был патч безопасности. Чтобы узнать подробности, давайте посмотрим на https://changelogs.ubuntu.com/changelogs/binary/c/curl/7.47.0-1ubuntu2.15/changelog
curl (7.47.0-1ubuntu2. 15) xenial-security; urgency = medium
- ОБНОВЛЕНИЕ БЕЗОПАСНОСТИ: curl перезаписывает локальный файл с помощью -J
- debian / patches / CVE-2020-8177.patch: -i недопустимо, если -J используется в src / tool_cb_hdr.c, src / tool_getparam.c.
- CVE-2020-8177
- Marc Deslauriers marc.deslauriers@ubuntu.com Среда, 17 июня 2020 г., 09:21:55 -0400
Сейчас давайте посмотрим на openssh-server:
$ rmadison openssh-server | grep xenial
openssh-server | 1:7.2p2-4 | xenial | amd64, arm64, armhf, i386, powerpc, ppc64el, s390x
openssh-server | 1:7.2p2-4ubuntu2.8 | xenial-security | amd64, arm64, armhf, i386, powerpc, ppc64el, s390x
openssh-server | 1:7.2p2-4ubuntu2.10 | xenial-updates | amd64, arm64, armhf, i386, powerpc, ppc64el, s390x
Посмотрите, как -updates имеет более высокую версию? Это означает, что новый пакет, скорее всего, является исправлением ошибки, а не исправлением безопасности. Посмотрим, что https://changelogs.ubuntu.com/changelogs/binary/o/openssh-server/1:7.2p2-4ubuntu2.10/changelog говорит:
openssh (1: 7.2p2-4ubuntu2.10) xenial; urgency = medium
- Исправить взаимоблокировку, когда AuthorizedKeysCommand выдает большой вывод. (LP: # 1877454)
- d / p / authkeyscommand-deadlock-01.patch: обязательно вызовите fclose (2) и присвойте NULL обработчику файлов, используемому для чтения Директивы "Authorized {Keys, Principal} Command".
- d / p / authkeyscommand-deadlock-02.patch: Использовать весь вывод генерируется командой, на которую указывает "Авторизованная {Keys, Principal} команда", чтобы избежать отправки SIGPIPE к процессу.
- Серджио Дуриган Младший sergio.durigan@canonical.com Ср, 13 мая 2020 г., 10:12:28 -0400
Q: Есть ли способ получить удержание старых пакетов в случае необходимости? Если да, то где?
A: Вот полезный источник pkgs.org , однако вы можете использовать его на свой страх и риск.