Для установки обновления использовать инструменты fly-astra-update и astra-update.
Всё программное обеспечение, разработанное с использованием средств разработки, будет корректно функционировать только в среде ОС СН "Astra Linux Special Edition" РУСБ.10015-01 (очередное обновление 1.7) с подключённым обновленным базовым репозиторием.
Общая информация
Оперативное обновление представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (очередное обновление 1.7), далее по тексту - Astra Linux.
Данное обновление содержит:
- обновление основного репозитория (main): https://dl.astralinux.ru/astra/1.7_x86-64/security-updates/2021-1115SE17/2021-1115SE17.iso;
- обновленный базовый репозиторий (base): https://dl.astralinux.ru/astra/1.7_x86-64/security-updates/devel/2021-1115SE17 .
Важная информация по применению обновления
Тестирование обновления перед установкой
Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в типичных конфигурациях (путем установки обновления и перезагрузки).
Для установки оперативного обновления необходимо выполнить обновление операционной системы в соответствии с инструкцией, приведенной ниже.
Порядок установки обновления
Подготовка к установке обновления
Перед установкой обновлений:
- Ознакомиться с настоящей инструкцией;
- Ознакомиться с инструкцией: fly-astra-update и astra-update - инструменты для установки обновлений в части использования инструментов.
Внимание
В системах с уровнем защищенности «Усиленный» (Воронеж) или «Максимальный» (Смоленск):
- Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности;
На время установки обновления необходимо снять запрет на установку бита исполнения в политиках безопасности. Это может быть сделано с помощью инструментов fly-astra-update/astra-update или командой:
sudo astra-nochmodx-lock disable
Загрузка и проверка образа обновления основного репозитория (main)
Образ диска с обновлением доступен для скачивания по ссылке:
https://dl.astralinux.ru/astra/1.7_x86-64/security-updates/2021-1115SE17/2021-1115SE17.iso
Загруженный ISO-образ поместить в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы. Для получения контрольной суммы выполнить команду:
Контрольная сумма:
Оперативное обновление подписано усиленной квалифицированной электронной подписью ООО "РусБИТех-Астра":
(https://dl.astralinux.ru/astra/1.7_x86-64/security-updates/2021-1115SE17/2021-1115SE17.iso.sig.
Для проверки подписи необходимо добавить в локальное хранилище сертификаты головного удостоверяющего центра и списки отозванных сертификатов, доступные по ссылке:
https://zgt.mil.ru/Udostoveryayushchij-centr/Kornevye-i-otozvannye-sertifikaty
Проверка наличия места в дисковом разделе /boot
Проверить размеры дисковых разделов командой:
Если размер дискового раздела /boot менее 512МБ, то рекомендуется:
Либо увеличить размер дискового раздела /boot до 512МБ.
Либо, если увеличить размер дискового раздела /boot до 512МБ не представляется возможным, удалить неиспользуемое ядро (ядра). Подробнее — см. раздел
Удаление неиспользуемых пакетов после обновления ядра. См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция
Установка инструментов для обновления
Пакеты astra-update/fly-astra-update по умолчанию установлены в Astra Linux. Однако если они были удалены, то перед обновлением инструмент командной строки astra-update или графический инструмент fly-astra-update необходимо установить в соответствии с инструкцией приведённой ниже.
Установка fly-astra-update/astra-update из репозитория
Если доступен репозиторий пакетов, содержащий пакеты обновления, установку можно выполнить следующими командами:
установка графического инструмента fly-astra-update (при этом будет автоматически установлен инструмент командной строки astra-update):
sudo apt update
sudo apt install fly-astra-updateили установка инструмента командной строки astra-update:
sudo apt update
sudo apt install astra-update
Установка fly-astra-update/astra-update из образа обновления
Примонтировать загруженный образ обновления, например, в каталог /media/cdrom:
sudo mount /mnt/2021-1115SE17.iso /media/cdromУстановить пакеты:
Только инструмент командной строки astra-update:
sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.debИли инструмент командной строки astra-update и графический инструмент fly-astra-update:
sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb
sudo apt install /media/cdrom/pool/non-free/libf/libflyadmin/libflyadminpackage_*.deb
sudo apt install /media/cdrom/pool/non-free/f/fly-astra-update/fly-astra-update_*.deb
Отмонтировать образ:
sudo umount /media/cdrom
Установка обновления
Обновление основного репозитория (main)
Установка обновления с использованием сетевых репозиториев
Если созданы сетевые репозитории (см. Создание локальных и сетевых репозиториев) для всех используемых ISO-образов, доступных на обновляемой машине:
- Установочный диск;
- Диск с обновлением основного репозитория (main);
И если на обновляемой машине настроен доступ к сетевым репозиториям в файле /etc/apt/sources.list
, то обновление может быть установлено командой:
Если доступ к репозиториям в файле /etc/apt/sources.list
не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).
Установка обновления с использованием локальных копий ISO-образов
Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий ISO-образов. Комплект образов для обновления аналогичен комплекту репозиториев:
- Установочный диск;
- Диск с обновлением основного репозитория (main).
ISO-образы могут быть сохранены как локальные файлы, или предоставлены на подключаемом съемном носителе. Установка обновления в таком случае выполняется с помощью astra-update/fly-astra-update, например:
В приведенном примере предполагается, что образы скопированы в каталог /mnt
или находятся на съемном носителе, смонтированном в каталог /mnt
.
Подробности также см. в описании инструментов fly-astra-update и astra-update.
Дополнительные примеры использования astra-update
При наличии установочного диска (должен быть зарегистрирован как источник пакетов) и скачанного образа обновления, установка обновления может быть выполнена командой:
Для более сложных схем обновления, в том числе для обновления средств разработки, инструкция по использованию инструментов astra-update и fly-astra-update доступна по ссылке: fly-astra-update и astra-update - инструменты для установки обновлений.
Подключение обновлённого базового репозитория (base)
Обновленный базовый репозиторий, соответствующий настоящему бюллетеню, доступен по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/devel/ 2021-1115SE17
Убедитесь, что у вас установлены пакеты apt-transport-https и ca-certificates, обеспечивающие возможность загрузки пакетов из репозиториев по защищенному протоколу HTTPS.
Если нет - то установите их, выполнив команду:
deb https://dl.astralinux.ru/astra/stable/smolensk/security-updates/devel/2021-1115SE17/base-repository 1.7_x86-64 main contrib non-free
При необходимости, файлы обновлённого базового репозитория можно скопировать и подготовить локальный репозитории (см. Создание локальных и сетевых репозиториев).
Завершение установки обновления
После выполнения обновления перезагрузить систему.
Внимание
После успешного обновления проверку целостности программных пакетов утилитой fly-admin-int-check необходимо проводить только с помощью файла gostsums.txt, расположенного в корневом каталоге диска с обновлениями.
Установка ядра linux-5.10
Пакет linux-5.10 размещён в обновлённом базовом репозитории
Действия при обновлении ядра
После выполнения настоящего обновления при необходимости можно установить ядро linux-5.10. Для этого следует выполнить команду (должен быть доступен репозиторий, содержащий пакеты настоящего обновления):
После завершения установки ядра будет автоматически обновлен загрузчик Grub.
Обновление гостевых дополнений VirtualBox при обновлении ядра
Если обновляемая ОС установлена на виртуальной машине Oracle VirtualBox и в этой ОС установлены гостевые дополнения VirtualBox, то после установки нового ядра и до перезагрузки ОС следует переустановить гостевые дополнения VirtualBox. Для этого необходимо:
- В меню управления виртуальной машиной выбрать пункт Устройства — Подключить образ диска Дополнений гостевой ОС (возможно, предварительно придётся освободить привод дисков);
В виртуальной машине с помощью программы «Менеджер файлов» примонтировать диск Дополнений гостевой ОС. При работе в командной строке примонтировать этот диск, выполнив команду:
sudo mount /dev/sr0 /mntПерейти в корневую папку диска Дополнений гостевой ОС и в командной строке выполнить команду:
sudo bash VBoxLinuxAdditions.run- После завершения работы сценария установки перезагрузить виртуальную машину.
Для проверки успеха установки можно использовать команду:
Пример вывода после выполнения команды:
filename: /lib/modules/5.10.0-1045-generic/misc/vboxguest.ko version: 6.1.24 r145751 license: GPL description: Oracle VM VirtualBox Guest Additions for Linux Module author: Oracle Corporation srcversion: B6B844EF8543A9E140728F2 alias: pci:v000080EEd0000CAFEsv00000000sd00000000bc*sc*i* depends: retpoline: Y name: vboxguest vermagic: 5.10.0-1045-generic SMP mod_unload modversions astra-admin@astra:~$ uname -r 5.10.0-1045-generic
Удаление неиспользуемых пакетов после обновления ядра
После установки нового ядра и успешной перезагрузки с обновленным ядром для сокращения занятого дискового пространства и для устранения ложных срабатываний сканеров уязвимостей рекомендуется удалить пакеты, относящиеся к старому ядру. Проверить, какое ядро загружено в данный момент можно командой:
Пример вывода после выполнения команды:
5.4.0-81-generic
Чтобы просмотреть перечень пакетов, относящихся к ядрам Linux и зарегистрированных в ОС, необходимо в терминале выполнить команду:
ii linux-image-4.15-generic ii linux-image-4.15-hardened ii linux-image-4.15.3-1-generic ii linux-image-4.15.3-1-hardened ii linux-image-4.15.3-141-generic ii linux-image-4.15.3-141-hardened ii linux-image-4.15.3-154-generic ii linux-image-4.15.3-154-hardened ii linux-image-5.4-generic ii linux-image-5.4-hardened ii linux-image-5.4.0-71-generic ii linux-image-5.4.0-71-hardened ii linux-image-5.4.0-81-generic ii linux-image-5.4.0-81-hardened ii linux-image-hardened
В первом столбце отображается состояние пакета, может принимать следующие значения:
- «rc» — пакет был установлен, но уже удален;
- «ii» — пакет на текущий момент установлен.
Ниже представлен пример сценария для удаления пакетов, относящихся к неиспользуемым ядрам (необходимо запускать от имени администратора с высоким уровнем целостности):
#!/bin/bash set -e # Перечень пакетов, дальнейшее использование которых не планируется. pkgs="linux-image-4.15.3-1-generic \ linux-image-4.15.3-1-hardened \ linux-image-4.15.3-141-generic \ linux-image-4.15.3-141-hardened \ linux-image-4.15.3-154-generic \ linux-image-4.15.3-154-hardened \ inux-image-5.4.0-71-generic \ linux-image-5.4.0-71-hardened " # Проверка строки и запуск удаления пакетов. # Для удаления пакета и всех связанных с ним # конфигурационных файлов необходимо использовать команду apt purge. [ -n "$pkgs" ] && apt remove $pkgs #обновление конфигурационного файла Grub. update-grub2
Кроме того, можно выборочно удалить пакеты с помощью предпочитаемого менеджера пакетов.