Для установки обновления использовать инструменты fly-astra-update и astra-update.
Если в системе используется программное обеспечение, разработанное с использованием средств разработки, необходимо выполнить обновление базового репозитория.
Базовый репозиторий (base) содержит также пакеты основного репозитория (main). В связи с этим можно выполнить обновление только базового репозитория.
Общая информация
Оперативное обновление представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (очередное обновление 1.7), далее по тексту - Astra Linux.
Данное обновление содержит:
- образ диска обновлённого основного репозитория (main): https://dl.astralinux.ru/astra/1.7_x86-64/security-updates/2021-1115SE17/2021-1115SE17.iso;
- обновленный базовый репозиторий (base): https://dl.astralinux.ru/astra/1.7_x86-64/security-updates/devel/2021-1115SE17 .
Порядок установки обновления
Подготовка к установке обновления
Перед установкой обновлений:
- Ознакомиться с настоящей инструкцией;
- Ознакомиться с инструкцией: fly-astra-update и astra-update - инструменты для установки обновлений в части использования инструментов.
Внимание
В системах с уровнем защищенности «Усиленный» (Воронеж) или «Максимальный» (Смоленск):
- Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности;
На время установки обновления необходимо снять запрет на установку бита исполнения в политиках безопасности. Это может быть сделано с помощью инструментов fly-astra-update/astra-update или командой:
sudo astra-nochmodx-lock disable
Если при установке системы был создан отдельный загрузочный раздел, то перед установкой обновлений необходимо определить размер свободного пространства на этом разделе. Для этого в терминале выполнить команду:
Для установки настоящего обновления требуется не менее 235 МБ. Если размер свободного пространства на дисковом разделе /boot не достаточен, то рекомендуется:
Либо увеличить размер дискового раздела /boot (до 512МБ).
Либо, если увеличить размер дискового раздела /boot не представляется возможным, удалить неиспользуемое ядро (ядра). Подробнее — см. раздел
Удаление неиспользуемых пакетов после обновления ядра.
См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция.
Установка обновления основного репозитория (main)
Загрузка и проверка образа обновления основного репозитория (main)
Образ диска с обновлением доступен для скачивания по ссылке:
https://dl.astralinux.ru/astra/1.7_x86-64/security-updates/2021-1115SE17/2021-1115SE17.iso
Загруженный ISO-образ поместить в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы. Для получения контрольной суммы выполнить команду:
Контрольная сумма:
Оперативное обновление подписано усиленной квалифицированной электронной подписью ООО "РусБИТех-Астра":
(https://dl.astralinux.ru/astra/1.7_x86-64/security-updates/2021-1115SE17/2021-1115SE17.iso.sig.
Для проверки подписи необходимо добавить в локальное хранилище сертификаты головного удостоверяющего центра и списки отозванных сертификатов, доступные по ссылке:
https://zgt.mil.ru/Udostoveryayushchij-centr/Kornevye-i-otozvannye-sertifikaty
Установка обновления с использованием сетевых репозиториев
Если созданы сетевые репозитории (см. Создание локальных и сетевых репозиториев) для всех используемых ISO-образов, доступных на обновляемой машине:
- Установочный диск;
- Диск с обновлением основного репозитория (main);
И если на обновляемой машине настроен доступ к сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:
Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).
Установка обновления с использованием локальных копий ISO-образов
Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий ISO-образов. Комплект образов для обновления аналогичен комплекту репозиториев:
- Установочный диск;
- Диск с обновлением основного репозитория (main).
ISO-образы могут быть сохранены как локальные файлы, или предоставлены на подключаемом съемном носителе. Установка обновления в таком случае выполняется с помощью astra-update/fly-astra-update, например:
В приведенном примере предполагается, что образы скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.
Дополнительные примеры использования astra-update
При наличии установочного диска (должен быть зарегистрирован как источник пакетов) и скачанного образа обновления, установка обновления может быть выполнена командой:
Для более сложных схем обновления, в том числе для обновления средств разработки, инструкция по использованию инструментов astra-update и fly-astra-update доступна по ссылке: fly-astra-update и astra-update - инструменты для установки обновлений.
Подключение обновлённого базового репозитория (base)
Обновленный базовый репозиторий, соответствующий настоящему бюллетеню, доступен по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/devel/ 2021-1115SE17
Убедитесь, что у вас установлены пакеты apt-transport-https и ca-certificates, обеспечивающие возможность загрузки пакетов из репозиториев по защищенному протоколу HTTPS.
Если нет - то установите их, выполнив команду:
deb https://dl.astralinux.ru/astra/stable/smolensk/security-updates/devel/2021-1115SE17/base-repository 1.7_x86-64 main contrib non-free
При необходимости, файлы обновлённого базового репозитория можно скопировать и подготовить локальный репозитории (см. Создание локальных и сетевых репозиториев).
Завершение установки обновления
После выполнения обновления перезагрузить систему.
Внимание
После успешного обновления проверку целостности программных пакетов утилитой fly-admin-int-check необходимо проводить только с помощью файла gostsums.txt, расположенного в корневом каталоге диска обновлённого основного репозитория (main) (в корневом каталоге обновленного базового репозитория (base)).
Установка ядра linux-5.10
Действия при обновлении ядра
После выполнения настоящего обновления при необходимости можно установить ядро linux-5.10. Для этого следует выполнить команду (должен быть доступен репозиторий, содержащий пакеты настоящего обновления):
После завершения установки ядра будет автоматически обновлен загрузчик Grub.
Обновление гостевых дополнений VirtualBox при обновлении ядра
Если обновляемая ОС установлена на виртуальной машине Oracle VirtualBox и в этой ОС установлены гостевые дополнения VirtualBox, то после установки нового ядра и до перезагрузки ОС следует переустановить гостевые дополнения VirtualBox. Для этого необходимо:
- В меню управления виртуальной машиной выбрать пункт Устройства — Подключить образ диска Дополнений гостевой ОС (возможно, предварительно придётся освободить привод дисков);
В виртуальной машине при использовании графического интерфейса с помощью программы «Менеджер файлов» примонтировать диск Дополнений гостевой ОС. При работе в командной строке примонтировать этот диск, выполнив команду:
sudo mount /dev/sr0 /mntПерейти в корневую папку диска Дополнений гостевой ОС и в командной строке выполнить команду:
sudo bash VBoxLinuxAdditions.run- После завершения работы сценария установки перезагрузить виртуальную машину.
Для проверки успеха установки можно использовать команду:
Пример вывода после выполнения команды:
filename: /lib/modules/5.10.0-1045-generic/misc/vboxguest.ko version: 6.1.24 r145751 license: GPL description: Oracle VM VirtualBox Guest Additions for Linux Module author: Oracle Corporation srcversion: B6B844EF8543A9E140728F2 alias: pci:v000080EEd0000CAFEsv00000000sd00000000bc*sc*i* depends: retpoline: Y name: vboxguest vermagic: 5.10.0-1045-generic SMP mod_unload modversions astra-admin@astra:~$ uname -r 5.10.0-1045-generic
Удаление неиспользуемых пакетов после обновления ядра
После установки нового ядра и успешной перезагрузки с обновленным ядром для сокращения занятого дискового пространства и для устранения ложных срабатываний сканеров уязвимостей рекомендуется удалить пакеты, относящиеся к старому ядру. Проверить, какое ядро загружено в данный момент можно командой:
Пример вывода после выполнения команды:
5.10.0-1045-generic
Чтобы просмотреть перечень пакетов, относящихся к ядрам Linux и зарегистрированных в ОС, необходимо в терминале выполнить команду:
ii linux-image-5.10-generic ii linux-image-5.10-hardened ii linux-image-5.10.0-1045-generic ii linux-image-5.10.0-1045-hardened ii linux-image-5.4-generic ii linux-image-5.4.0-54-generic ii linux-image-5.4.0-81-generic
В первом столбце отображается состояние пакета, может принимать следующие значения:
- «rc» — пакет был установлен, но уже удален;
- «ii» — пакет на текущий момент установлен.
Ниже представлен пример сценария для удаления пакетов, относящихся к неиспользуемым ядрам (необходимо запускать от имени администратора с высоким уровнем целостности):
#!/bin/bash set -e # Перечень пакетов, дальнейшее использование которых не планируется. pkgs="linux-image-5.4.0-54-generic \ linux-image-5.4.0-81-generic " # Проверка строки и запуск удаления пакетов. # Для удаления пакета и всех связанных с ним # конфигурационных файлов необходимо использовать команду apt purge. [ -n "$pkgs" ] && apt remove $pkgs #обновление конфигурационного файла Grub. update-grub2
Кроме того, можно выборочно удалить пакеты с помощью предпочитаемого менеджера пакетов.