Общая информация

Оперативное обновление представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (очередное обновление 1.6).

Данное обновление включает в себя:

• БЮЛЛЕТЕНЬ № 20210317SE16MD
• БЮЛЛЕТЕНЬ № 20210128SE16MD
• БЮЛЛЕТЕНЬ № 20201207SE16MD
• БЮЛЛЕТЕНЬ № 20200921SE16MD
• БЮЛЛЕТЕНЬ № 20200807SE16MD
• БЮЛЛЕТЕНЬ № 20200722SE16 - Update 6
• БЮЛЛЕТЕНЬ № 20200526SE16MD
• БЮЛЛЕТЕНЬ № 20200327SE16 - Update 5
• БЮЛЛЕТЕНЬ № 20191029SE16 - Update 4
• БЮЛЛЕТЕНЬ № 20190912SE16 - Update 3
• БЮЛЛЕТЕНЬ № 20190712SE16MD
• БЮЛЛЕТЕНЬ № 20190621SE16MD
• БЮЛЛЕТЕНЬ № 20190529SE16MD
• БЮЛЛЕТЕНЬ № 20190222SE16 - Update 2
• БЮЛЛЕТЕНЬ № 20181229SE16 - Update 1

Известные проблемы и их решения

Тестирование обновления перед установкой

При установке недоступны пакеты, расположенные на основном установочном диске

Если установочный диск и образ обновления подключены с помощью apt-cdrom (нерекомендуемый способ установки обновлений), то выполнение обновления может завершаться ошибкой из-за не найденных пакетов. При возникновении подобных ошибок:

1. Удалить из файла /etc/apt/sources.list все зарегистрированные диски, кроме установочного диска;

2. Выполнить команду:
   

   Command
   sudo apt update

   
   

3. Установить не найденные пакеты с установочного диска;
4. Повторить процедуру регистрации образов дисков обновления и установки обновления;

Возможный вариант комплекта необходимых пакетов и команда для их установки:

Для предупреждения возникновения подобных ошибок следует использовать обновление из сетевых репозиториев или ISO-образов с помощью инструментов fly-astra-update и astra-update.

Недостаточно места в дисковом разделе /boot

Если обновление устанавливается на только что установленную ОС с разметкой LVM, выполненной по умолчанию (а именно - размер дискового раздела /boot менее 512МБ, по умолчанию 234МБ), то:

1. либо увеличить размер дискового раздела /boot до 512МБ:

2. либо, если увеличить размер дискового раздела /boot до 512МБ не представляется возможным:

   1. удалить ядро hardened командой:

      Command
      sudo apt remove linux-image-4.15.3-1-hardened

      
      

   2. Подключить обновления и выполнить их установку обновление.

   3. Перезагрузить ОС, загрузившись с использованием ядра 4.15.3-2-generic

   4. При необходимости использовать ядро hardened, повторно установить ядро hardened командой:

      Command
      sudo apt install linux-image-4.15.3-2-hardened linux-astra-modules-4.15.3-2-hardened

      и повторно перезагрузить ОС с использованием ядра hardened

См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция.

Исправление прав доступа к файлу /dev/kvm

Если на обновляемой машине установлена система виртуализации  KVM (пакет qemu-system-common) после обновления неправильно задаются права доступа к файлу /dev/kvm. При этом запуск виртуальных машин завершается ошибкой вида:

error: invalid argument: could not find capabilities for arch=x86_64 domaintype=kvm

Для устранения ошибки необходимо исправить права доступа к файлу /dev/kvm, для чего выполнить команды:

Доустановка пакета linux-5.4

Если на момент установки установлено ядро версии 5.4 из репозитория BSP обновления БЮЛЛЕТЕНЬ № 20200722SE16 - Update 6, то перед перезагрузкой необходимо выполнить установку пакета linux-5.4 из текущего обновления. Для этого выполнить команду: 

Обновление гостевых дополнений VirtualBox при обновлении ядра

Если обновляемая ОС установлена на виртуальной машине Oracle VirtualBox и в обновляемой ОС установлены гостевые дополнения VirtualBox, то после установки нового ядра и до перезагрузки ОС следует переустановить гостевые дополнения VirtualBox (см. Установка VirtualBox).

Удаление неиспользуемых пакетов после обновления ядра

После установки нового ядра и успешной перезагрузки с обновленным ядром для сокращения занятого дискового пространства и для устранения ложных срабатываний сканеров уязвимостей рекомендуется удалить пакеты, относящиеся к старому ядру. Проверить, какое ядро загружено в данный момент можно командой:

Для удаления пакетов, относящихся к неиспользуемым ядрам, можно использовать следующий сценарий, выполняемый от имени администратора с высоким уровнем целостности:

#!/bin/bash

set -e

pkgs=`dpkg -l \
linux-image-4.15.3-1-generic \
linux-image-4.15.3-1-hardened \
linux-image-4.15.3-2-generic \
linux-image-4.15.3-2-hardened \
linux-image-4.15.3-3-generic \
linux-image-4.15.3-3-hardened \
linux-image-5.4.0-54-generic \
linux-image-5.4.0-54-hardened \
2> /dev/null | grep "^ii" | cut -d " " -f3 | \
grep -v ^linux-image-$(uname -r | cut -d '-' -f1-2)`

[ -n "$pkgs" ] && apt remove $pkgs
rm -f /boot/old-*

или выборочно удалить пакеты вручную с помощью команды apt remove.

Обновление драйверов Nvidia после обновления ядра

После обновления ядра ОС при установке данного обновления становится возможна установка драйверов Nvidia без DKMS для ядра 5.4.0-71.

Загрузка и проверка образов обновления

Образ диска с обновлением доступен для скачивания по ссылке: https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20210611SE16/20210611SE16.iso.

Загруженный iso-образ поместить в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы.
Для получения контрольной суммы выполнить команду:

Контрольная сумма:

Порядок установки обновления

Для установки этого обновления и следующих обновлений рекомендуется установить и использовать инструменты fly-astra-update и astra-update - инструменты для установки обновлений.

Начиная с оперативного обновления БЮЛЛЕТЕНЬ № 20210611SE16 (оперативное обновление 7) в состав пакетов Astra Linux включены пакеты для автоматизации установки обновлений:

• инструмент командной строки - пакет astra-update;
• графический инструмент - пакет fly-astra-update.

Для установки оперативного обновления БЮЛЛЕТЕНЬ № 20210611SE16 (оперативное обновление 7) и последующих оперативных обновлений рекомендуется использовать только эти инструменты. Если инструмент (инструменты) не были установлены ранее, то установить их.

Рекомендованные варианты установки обновлений

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории для всех используемых ISO-образов, доступные на обновляемой машине:

1. Обязательные репозитории:
   1. Установочный диск;
   2. Диск с обновлением;
2. Дополнительные репозитории:
   
   1. Диск со средствами разработки;
   2. Диск с обновлением средств разработки;

Если на обновляемой машине настроен доступ к сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update).

Установка обновления с использованием локальных копий ISO-образов

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий ISO-образов. Комплект образов для обновления аналогичен комплекту репозиториев:

1. Обязательные ISO-образы:
   1. Установочный диск;
   2. Диск с обновлением;
2. Дополнительные ISO-образы:
   1. Диск со средствами разработки;
   2. Диск с обновлением средств разработки;

ISO-образы могут быть сохранены как локальные файлы, или предоставлены на подключаемом съемном носителе. Установка обновления в таком случае выполняется с помощью astra-update/fly-astra-update, например:

В приведенном примере предполагается, что образы скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.

Подготовка к установке

Установка fly-astra-update/astra-update из репозитория

Если доступен репозиторий пакетов, содержащий пакеты обновления установку можно выполнить командами:

или инструмент astra-update:

Установка fly-astra-update/astra-update из образа обновления

1. Примонтировать загруженный образ обновления:

   Command
   sudo mount /mnt/20210611SE16.iso /media/cdrom

   
   

   
   

2. Установить пакеты:
   только пакет для работы в командной строке astra-update:

   Command
   sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb

   или пакет для работы в командной строке astra-update и графический пакет fly-astra-update:

   Command
   sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb sudo apt install /media/cdrom/pool/non-free/libf/libflyadmin/libflyadminpackage_*.deb sudo apt install /media/cdrom/pool/non-free/f/fly-astra-update/fly-astra-update_*.deb

   
   

Установка обновления

Дальнейшую установку оперативных обновлений выполнять с помощью установленных инструментов.

Дополнительные примеры использования astra-update

Например, если имеются скопированные образы установочного диска и диска обновления установка обновления может быть выполнена командой:

Обычно основной установочный диск уже зарегистрирован как источник пакетов при установке ОС и при наличии установочного диска и скачанного образа обновления обновление может быть выполнено командой:

При этом понадобится загрузить установочный диск в привод компакт-дисков.

Установка обновления без использования инструментов fly-astra-update и astra-update.

Завершение установки обновления

Независимо от выбранного способа установки обновления, если на момент установки установлено ядро версии 5.4 из репозитория BSP обновления БЮЛЛЕТЕНЬ № 20200722SE16 - Update 6, то перед перезагрузкой необходимо выполнить установку пакета linux-5.4 из текущего обновления. Для этого выполнить команду: 

После выполнения обновления необходимо перезагрузить систему.

Список уязвимостей, закрываемых обновлением №20210611SE16 (оперативное обновление 7)

Список улучшений функциональности, предоставляемых обновлением №20210611SE16 (оперативное обновление 7)