Сравнение версий

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.


Предупреждение

Перед установкой обновления ознакомиться с разделом Важная информация по применению обновления.


Предупреждение

Для установки обновления использовать инструменты fly-astra-update и astra-update - инструменты для установки обновлений.


Оглавление




Предупреждение

Всё программное обеспечение, разработанное с использованием оперативных обновлений для дисков со средствами разработки, будет корректно функционировать только в среде ОС СН Astra Linux Special Edition с установленными соответствующими оперативными обновлениями.


Предупреждение

Совместимость версий ПК СВ Брест с обновлениями ОС СН Astra Linux Special Edition


Информация
Отображение дочерних



панель

Общая информация

Оперативное обновление представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционной системы специального назначения «Astra Linux Special Edition» РУСБ.10015-01 (очередное обновление 1.6), далее по тексту - Astra Linux.

Информация
titleДанное обновление содержит:

Данное обновление включает в себя:



панель

Важная информация по применению обновления
Якорь
KnownProblems
KnownProblems

панель

Тестирование обновления перед установкой

Предупреждение

Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в типичных конфигурациях (путем установки обновления и перезагрузки).



панель

Нарушение работы xrdp после установки обновления

Если после установки настоящего обновления нарушена работа подключений по протоколу xrdp, то в качестве оперативной методики восстановления работоспособности обновить пакет xorgxrdp в соответствии с инструкцией: Пакет xorgxrdp_0.2.17-0astra1+b1.
Исправления, содержащиеся в обновленной версии пакета, будут включены в следующее оперативное обновление.

Если при установке недоступны пакеты, расположенные на установочном (основном) диске

Если установочный диск и образ обновления подключены с помощью apt-cdrom (нерекомендуемый способ установки обновлений, см. статью Установка оперативных обновлений Astra Linux Special Edition с компакт-дисков), то выполнение обновления может завершаться ошибкой из-за не найденных пакетов. При возникновении подобных ошибок:

  1. Удалить из файла /etc/apt/sources.list все зарегистрированные диски, кроме установочного диска;
  2. Выполнить команду:

    Command
    sudo apt update


  3. Установить не найденные пакеты с установочного диска;
  4. Повторить процедуру регистрации образов дисков обновления и установки обновления в соответствии с инструкцией Установка оперативных обновлений Astra Linux Special Edition с компакт-дисков;

Возможный вариант комплекта необходимых пакетов и команда для их установки:

Command

sudo apt install libvulkan1 libev4 qdbus-qt5 libunwind8 reprepro libcurl3 qt5-image-formats-plugins \
libxml++2.6-2v5 libxml-xpath-perl libxmlrpc-core-c3 libxmlrpc-epi0 libxml2 libxml-parser-perl

Для предупреждения возникновения подобных ошибок следует использовать обновление из сетевых репозиториев Astra Linux (см. Создание локальных и сетевых репозиториев) или ISO-образов Astra Linux с помощью инструментов fly-astra-update и astra-update (порядок установки этих инструментов для выполнения настоящего обновления описан в разделе Подготовка к установке).




панель

Порядок установки обновления

панель

Подготовка к установке обновления

Предупреждение

Перед установкой обновлений:


Предупреждение
titleВнимание
  • Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности;
  • На время установки обновления необходимо снять запрет на установку бита исполнения в политиках безопасности. Это может быть сделано с помощью инструментов fly-astra-update/astra-update или командой:

    Command
    sudo astra-nochmodx-lock disable


  • Для полного завершения обновления требуется установочный диск (образ установочного диска) Astra Linux.

Для установки настоящего оперативного обновленияи последующих оперативных обновлений использовать следующие инструменты.

  • инструмент командной строки — пакет astra-update;
  • графический инструмент — пакет fly-astra-update.

Если указанный инструмент (инструменты) не были установлены ранее, то установить их (см. Установка fly-astra-update/astra-update из репозитория и Установка fly-astra-update/astra-update из образа обновления).

Предупреждение
При подготовке установки обновления не допускается использовать команду apt-cdrom add для регистрации дисков.



панель

Загрузка и проверка образов обновления

панель

Образ диска с обновлением доступен для скачивания по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20211008SE16/20211008SE16.iso;

Загруженный ISO-образ поместить в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы.
Для получения контрольной суммы выполнить команду:

Command
gostsum -d /mnt/20211008SE16.iso

Контрольная сумма:

Информация
iconfalse

e12773aaad307f1feb8c9b0c7010d5182d1d762caa61070c90cfe7f4607066d9


Подсказка

Оперативное обновление подписано усиленной квалифицированной электронной подписью ООО «РусБИТех-Астра»:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20211008SE16/20211008SE16.iso.sig

Для проверки подписи необходимо добавить в локальное хранилище сертификаты головного удостоверяющего центра и списки отозванных сертификатов, доступные по ссылке:
https://zgt.mil.ru/Udostoveryayushchij-centr/Kornevye-i-otozvannye-sertifikaty



панель

Образ диска с обновлением средств разработки, соответствующий настоящему бюллетеню, доступен по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/devel/20211008SE16

Контрольная сумма образа диска с обновлением средств разработки:

Информация

a5ddfee7bc81830b1293e98031d208e9440814ae5984cca41da6926a3040c7d7




панель

Установка инструментов для обновления

панель

Установка fly-astra-update/astra-update из репозитория

Если доступен репозиторий пакетов, содержащий пакеты обновления, установку можно выполнить следующими командами:

  • установка графического инструмента fly-astra-update (при этом будет автоматически установлен инструмент командной строки astra-update):

    Command

    sudo apt update
    sudo apt install fly-astra-update


  • или установка инструмента командной строки astra-update:

    Command

    sudo apt update
    sudo apt install astra-update



панель

Установка fly-astra-update/astra-update из образа обновления

  1. Примонтировать загруженный образ обновления, например, в каталог /media/cdrom:

    Command
    sudo mount /mnt/20211008SE16.iso /media/cdrom


  2. Установить пакеты:
    только инструмент командной строки astra-update:

    Command

    sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb

    или инструмент командной строки astra-update и графический инструмент fly-astra-update:

    Command

    sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb
    sudo apt install /media/cdrom/pool/non-free/libf/libflyadmin/libflyadminpackage_*.deb
    sudo apt install /media/cdrom/pool/non-free/f/fly-astra-update/fly-astra-update_*.deb


  3. Отмонтировать образ:

    Command
    sudo umount /media/cdrom



панель

Тестирование обновления перед установкой

Предупреждение

Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в типичных конфигурациях (путем установки обновления и перезагрузки).



панель

Проверка наличия места в дисковом разделе /boot

Проверить размеры дисковых разделов командой:

Command
lsblk

Если размер дискового раздела /boot менее 512МБ, то рекомендуется:

  1. Либо увеличить размер дискового раздела /boot до 512МБ.

  2. Либо, если увеличить размер дискового раздела /boot до 512МБ не представляется возможным:

    1. Получить список установленных ядер:

      Command
      dpkg -l linux-image-*


    2. Удалить неиспользуемое ядро (ядра). Например, удалить ядро 4.15.3-1-hardened командой:

      Command
      sudo apt remove linux-image-4.15.3-1-hardened


    3. Выполнить установку обновления.

    4. Перезагрузить ОС, загрузившись с использованием нового ядра.

    5. При необходимости - установить дополнительные ядра, например 4.15.3-154-hardened:

      Command
      sudo apt install linux-astra-modules-4.15.3-154-hardened

      Для загрузки установленного ядра перезагрузить ОС.

См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция




панель

Установка обновления

Рекомендованные варианты установки обновлений

панель

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории (см. Создание локальных и сетевых репозиториев) для всех используемых ISO-образов, доступных на обновляемой машине:

  1. Обязательные репозитории:
    1. Установочный диск;
    2. Диск с обновлением;
  2. Дополнительные репозитории:
    1. Диск со средствами разработки;
    2. Диск с обновлением средств разработки;

И если на обновляемой машине настроен доступ к сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

Command
sudo astra-update -a -r

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).


панель

Установка обновления с использованием локальных копий ISO-образов

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий ISO-образов. Комплект образов для обновления аналогичен комплекту репозиториев:

  1. Обязательные ISO-образы:
    1. Установочный диск;
    2. Диск с обновлением;
  2. Дополнительные ISO-образы:
    1. Диск со средствами разработки;
    2. Диск с обновлением средств разработки;

ISO-образы могут быть сохранены как локальные файлы, или предоставлены на подключаемом съемном носителе. Установка обновления в таком случае выполняется с помощью astra-update/fly-astra-update, например:

Command
sudo astra-update -a /mnt/smolensk1.6.iso /mnt/20211008SE16.iso /mnt/smolensk1.6-devel.iso /mnt/20211008SE16-devel.iso

В приведенном примере предполагается, что образы скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.


панель

Дополнительные примеры использования astra-update

Например, при наличии образов установочного диска и диска обновления установка обновления может быть выполнена командой:

Command
sudo astra-update -a <имя_образа_установочного диска> /mnt/20211008SE16.iso

При наличии установочного диска (должен быть зарегистрирован как источник пакетов) и скачанного образа обновления, установка обновления может быть выполнена командой:

Command
sudo astra-update -a /mnt/20211008SE16.iso

При этом понадобится загрузить установочный диск в привод компакт-дисков.

Для более сложных схем обновления, в том числе для обновления средств разработки, инструкция по использованию инструментов astra-update и fly-astra-update доступна по ссылке: fly-astra-update и astra-update - инструменты для установки обновлений.


панель

Установка обновления без использования инструментов fly-astra-update и astra-update.

Раскрыть


Предупреждение

Установку настоящего оперативного обновления и последующих оперативных обновлений рекомендуется выполнять с использованием пакетов astra-update или fly-astra-update.


Предупреждение
При установке оперативных обновлений без использования инструментов fly-astra-update/astra-update недопустимо использовать опцию обновления upgrade (команду sudo apt upgrade), следует использовать только опцию dist-upgrade (команду sudo apt dist-upgrade).


Предупреждение
titleВнимание

Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности.
На время установки обновления необходимо снять запрет на установку бита исполнения в политиках безопасности.
Для полного завершения обновления потребуется установочный диск Astra Linux.


панель

1. Если при установке обновления не используется репозиторий Astra Linux, то необходимо убедиться  в том, что зарегистрирован и доступен установочный диск, для чего просто установить его в привод компакт-дисков (монтировать не надо) и выполнить команду:

Command
sudo apt-cdrom add



панель

2. Если для установки обновления файл ISO-образа переписан на компакт-диск, описанную выше процедуру регистрации  повторить для всех компакт-дисков.


панель

3. Если для обновления используются файлы с ISO-образами дисков, то для каждого образа нужно выполнить аналогичную процедуру регистрации, предварительно смонтировав, а потом отмонтировав образ:

Command

sudo mount /mnt/20211008SE16.iso /media/cdrom
sudo apt-cdrom -m add
sudo umount /media/cdrom

на вопрос об имени диска ввести «20211008SE16».

Можно не использовать ключ -m, тогда команда apt-cdrom начиная работу сама отмонтирует ранее установленный диск, выдаст запрос на установку нового диска, а после завершения - отмонтирует установленный диск.
При этом образы дисков по запросу команды apt-cdrom можно монтировать из параллельной терминальной сессии.

Примечание

Описанные процедуры регистрации компакт-дисков и образов должны быть выполнены для всех компакт-дисков и образов, использующихся для обновления.


Примечание

В процессе установки обновления может потребоваться замена диска/образа диска, с которого происходит установка.
Программа установки предупредит об этом, попросит вставить диск и нажать клавишу <Enter>.

При установке с использованием компакт-диска дистрибутива ОС СН Смоленск 1.6 и файла - образа диска с обновлениями переключать носители не потребуется.

При установке с использованием иных вариантов носителей может потребоваться заменять носители в соответствии с указаниями программы.
При этом компакт-диски просто заменяются в приводе компакт-дисков, а для подключения файлов с образами дисков их нужно будет монтировать в каталог /media/cdrom так же, как и при регистрации:

Command
sudo mount /mnt/20211008SE16.iso /media/cdrom




панель

4. Команды обновления следует выполнять из сессии суперпользователя (sudo -s) с высоким уровнем целостности, а не через отдельные команды sudo:

Информация

sudo -s
... команды ...
exit



панель

5. После завершения регистрации всех компакт-дисков и образов выполнить команды  для «холостого прогона» установки обновлений (без внесения реальных изменений в систему, ключ -s команды apt), и убедиться, что в результате работы не возникает неустранимых ошибок:

Command

sudo -s
apt update
apt -s dist-upgrade
exit

По мере появления приглашения на замену носителей - выполнять замену в соответствии с изложенной выше инструкцией.


панель

6. Выполнить обновление командами:

Command

sudo -s
apt update
apt dist-upgrade
apt -f install
exit

По мере появления приглашения на замену носителей - выполнять замену в соответствии с изложенной выше инструкцией.





панель

Завершение установки обновления

панель

Установка ядра linux-5.10

После выполнения настоящего обновления при необходимости можно установить ядро linux-5.10. Для этого следует выполнить команду (должен быть доступен репозиторий, содержащий пакеты настоящего обновления): 

Command

sudo apt install linux-5.10

После завершения установки ядра будет автоматически обновлен загрузчик Grub. 

Чтобы изменения вступили в силу необходимо перезагрузить компьютер. 


панель

Действия при обновлении ядра

панель

Обновление гостевых дополнений VirtualBox при обновлении ядра

Если обновляемая ОС установлена на виртуальной машине Oracle VirtualBox и в этой ОС установлены гостевые дополнения VirtualBox, то после установки нового ядра и до перезагрузки ОС следует переустановить гостевые дополнения VirtualBox (см. статью Установка VirtualBox).


панель

Удаление неиспользуемых пакетов после обновления ядра

панель

После установки нового ядра и успешной перезагрузки с обновленным ядром для сокращения занятого дискового пространства и для устранения ложных срабатываний сканеров уязвимостей рекомендуется удалить пакеты, относящиеся к старому ядру. Проверить, какое ядро загружено в данный момент можно командой:

Command
uname -r

Пример вывода после выполнения команды:

Блок кода
5.4.0-81-generic

Чтобы просмотреть перечень пакетов, относящихся к ядрам Linux и зарегистрированных в ОС, необходимо в терминале выполнить команду:

Command
dpkg -l | awk '/linux-image/ {print $1,$2}'

Пример вывода после выполнения команды:

Блок кода
ii linux-image-4.15-generic
ii linux-image-4.15-hardened
ii linux-image-4.15.3-1-generic
ii linux-image-4.15.3-1-hardened
ii linux-image-4.15.3-141-generic
ii linux-image-4.15.3-141-hardened
ii linux-image-4.15.3-154-generic
ii linux-image-4.15.3-154-hardened
ii linux-image-5.4-generic
ii linux-image-5.4-hardened
ii linux-image-5.4.0-71-generic
ii linux-image-5.4.0-71-hardened
ii linux-image-5.4.0-81-generic
ii linux-image-5.4.0-81-hardened
ii linux-image-hardened

В первом столбце отображается состояние пакета, может принимать следующие значения:

  • «rc» — пакет был установлен, но уже удален;
  • «ii» — пакет на текущий момент установлен.

Ниже представлен пример сценария для удаления пакетов, относящихся к неиспользуемым ядрам (необходимо запускать от имени администратора с высоким уровнем целостности):

Блок кода
#!/bin/bash

set -e

# Перечень пакетов, дальнейшее использование которых не планируется.
pkgs="linux-image-4.15.3-1-generic \
linux-image-4.15.3-1-hardened \
linux-image-4.15.3-141-generic \
linux-image-4.15.3-141-hardened \
linux-image-4.15.3-154-generic \
linux-image-4.15.3-154-hardened \
inuxlinux-image-5.4.0-71-generic \
linux-image-5.4.0-71-hardened "

# Проверка строки и запуск удаления пакетов.
# Для удаления пакета и всех связанных с ним 
# конфигурационных файлов необходимо использовать команду apt purge.
[ -n "$pkgs" ] && apt remove $pkgs

#обновление конфигурационного файла Grub.
update-grub2  

Кроме того, можно выборочно удалить пакеты с помощью предпочитаемого менеджера пакетов.




панель

Обновление пакета skanlite

Если ранее был установлен пакет skanlite, то в связи с прекращением поддержки этого пакета рекомендуется заменить его на функционально аналогичный пакет fly-scan, для чего выполнить команду:

Command
sudo apt install fly-scan

Пакет skanlite при этом будет удален автоматически.


Предупреждение

После выполнения обновления необходимо перезагрузить систему.


Предупреждение
titleВнимание

После успешного обновления проверку целостности программных пакетов утилитой fly-admin-int-check необходимо проводить только с помощью файла gostsums.txt, расположенного в корневом каталоге диска с обновлениями.


Информация

Для упрощения адаптации пользователей к особенностям реализации мандатного контроля целостности, при установке обновления значение мандатного атрибута ccnri принудительно фиксируется во включенном состоянии для всех каталогов файловой системы. Мандатный атрибут ccnri определяет, что контейнер может содержать сущности с различными уровнями целостности, но не большими, чем его собственный уровень целостности и применяется только к контейнерам  (каталогам файловой системы). 




...