Общая информация

Оперативное обновление представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных

Общая информация

уязвимостей операционной системы специального назначения «Astra Linux Special Edition» РУСБ.10015-01 (очередное обновление 1.6), далее по тексту - Astra Linux.

Данное обновление включает в себя:

• БЮЛЛЕТЕНЬ № 20211008SE16 - оперативное обновление 9
• БЮЛЛЕТЕНЬ № 20210730SE16 - оперативное обновление 8
• БЮЛЛЕТЕНЬ № 20210723SE16MD
• БЮЛЛЕТЕНЬ № 20210611SE16 - оперативное обновление 7
• БЮЛЛЕТЕНЬ № 20210317SE16MD
• БЮЛЛЕТЕНЬ № 20210128SE16MD
• БЮЛЛЕТЕНЬ № 20201207SE16MD
• БЮЛЛЕТЕНЬ № 20200921SE16MD
• БЮЛЛЕТЕНЬ № 20200807SE16MD
• БЮЛЛЕТЕНЬ № 20200722SE16 - оперативное обновление 6
• БЮЛЛЕТЕНЬ № 20200526SE16MD
• БЮЛЛЕТЕНЬ № 20200327SE16 - оперативное обновление 5
• БЮЛЛЕТЕНЬ № 20191029SE16 - оперативное обновление 4
• БЮЛЛЕТЕНЬ № 20190912SE16 - оперативное обновление 3
• БЮЛЛЕТЕНЬ № 20190712SE16MD
• БЮЛЛЕТЕНЬ № 20190621SE16MD
• БЮЛЛЕТЕНЬ № 20190529SE16MD
• БЮЛЛЕТЕНЬ № 20190222SE16 - оперативное обновление 2
• БЮЛЛЕТЕНЬ № 20181229SE16 - оперативное обновление 1

Важная информация по применению обновления

Якорь
KnownProblems KnownProblems

Тестирование обновления перед установкой

Нарушение работы xrdp после установки обновления

Если после установки настоящего обновления нарушена работа подключений по протоколу xrdp, то в качестве оперативной методики восстановления работоспособности обновить пакет xorgxrdp в соответствии с инструкцией: Пакет xorgxrdp_0.2.17-0astra1+b1.
Исправления, содержащиеся в обновленной версии пакета, будут включены в следующее оперативное обновление.

Если при установке недоступны пакеты, расположенные на установочном (основном) диске

Если установочный диск и образ обновления подключены с помощью apt-cdrom (нерекомендуемый способ установки обновлений, см. статью Установка оперативных обновлений Astra Linux Special Edition с компакт-дисков), то выполнение обновления может завершаться ошибкой из-за не найденных пакетов. При возникновении подобных ошибок:

Выполнить команду:

Возможный вариант комплекта необходимых пакетов и команда для их установки:

Если при установке недоступны пакеты, расположенные на установочном (основном) диске

Если установочный диск и образ обновления подключены с помощью apt-cdrom (нерекомендуемый способ установки обновлений), то выполнение обновления может завершаться ошибкой из-за не найденных пакетов. При возникновении подобных ошибок:

1. Удалить из файла /etc/apt/sources.list все зарегистрированные диски, кроме установочного диска;

2. Выполнить команду:
   

   Command
   sudo apt update

   
   

3. Установить не найденные пакеты с установочного диска. Пример команды установки с полным перечнем пакетов, из-за отсутствия которых возможно появление ошибки: 

   Command
   sudo apt install libvulkan1 libev4 qdbus-qt5 libunwind8 reprepro libcurl3 qt5-image-formats-plugins \ libxml++2.6-2v5 libxml-xpath-perl libxmlrpc-core-c3 libxmlrpc-epi0 libxml2 libxml-parser-perl

1. 
   

2. Повторить процедуру регистрации образов дисков обновления и установки обновления в соответствии с инструкцией Установка оперативных обновлений Astra Linux Special Edition с компакт-дисков;

Для предупреждения возникновения подобных ошибок следует использовать обновление из сетевых репозиториев Astra Linux (см. Создание локальных и сетевых репозиториев) или ISO-образов Astra Linux с помощью инструментов fly-astra-update и astra-update (порядок установки этих инструментов для выполнения настоящего обновления описан в разделе

Установка инструментов для обновления).

Порядок установки обновления

Подготовка к установке обновления

Для установки настоящего оперативного обновленияи последующих оперативных обновлений рекомендуется использовать следующие инструменты

:

• инструмент командной строки — пакет astra-update;
• графический инструмент — пакет fly-astra-update.

Если указанный инструмент (инструменты) не были установлены ранее, то установить их (см. Установка fly-astra-update/astra-update из репозитория и Установка fly-astra-update/astra-update из образа обновления).

Загрузка и проверка образов обновления

Образ диска с обновлением доступен для скачивания по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/

20211126SE16/

20211126SE16.iso;

Загруженный ISO-образ поместить в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы указанной ниже.
Для получения контрольной суммы выполнить команду:

Контрольная сумма:

Образ диска с обновлением средств разработки, соответствующий настоящему бюллетеню, доступен по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/devel

/20211126SE16/repository-update-dev.iso

Контрольная сумма образа диска с обновлением средств разработки:

Якорь
InstallTools InstallTools

Установка инструментов для обновления

Якорь
installFromRepo

installFromRepo

Установка fly-astra-update/astra-update из репозитория

Если доступен репозиторий пакетов, содержащий пакеты обновления, установку можно выполнить следующими командами:

• установка графического инструмента fly-astra-update (при этом будет автоматически установлен инструмент командной строки astra-update):

  Command
  sudo apt update sudo apt install fly-astra-update

  
  

• или установка инструмента командной строки astra-update:

  Command
  sudo apt update sudo apt install astra-update

  
  

Якорь

installFromIso installFromIso

Установка fly-astra-update/astra-update из образа обновления

1. Примонтировать загруженный образ обновления, например, в каталог /media/cdrom:

   Command
   sudo mount /mnt/

1. 20211126SE16.iso /media/cdrom

   
   

2. Установить пакеты:
   только инструмент командной строки astra-update:

   Command
   sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb

   или инструмент командной строки astra-update и графический инструмент fly-astra-update:

   Command
   sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb sudo apt install /media/cdrom/pool/non-free/libf/libflyadmin/libflyadminpackage_*.deb sudo apt install /media/cdrom/pool/non-free/f/fly-astra-update/fly-astra-update_*.deb

   
   

3. Отмонтировать образ:

   Command
   sudo umount /media/cdrom

Тестирование обновления перед установкой

Проверка наличия места в дисковом разделе /boot

Проверить размеры дисковых разделов командой:

Если размер дискового раздела /boot менее 512МБ, то рекомендуется:

Если при установке системы был создан отдельный загрузочный раздел, то перед установкой обновлений необходимо определить размер свободного пространства на этом разделе. Для этого в терминале выполнить команду:

В зависимости от установленных ранее оперативных обновлений для установки обновлённых ядер linux может потребоваться до 280 МБ. Если размер свободного пространства на дисковом разделе /boot недостаточен, то рекомендуется:

1. Либо увеличить размер дискового раздела /boot (рекомендуется не менее 512МБ)

1. .

2. Либо, если увеличить размер дискового раздела /boot

1. не представляется возможным

Получить список установленных ядер:

1. , удалить неиспользуемое ядро (ядра).

1. Подробнее — см. раздел Удаление неиспользуемых пакетов после обновления ядра.

См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция.

Установка обновления

Рекомендованные варианты установки обновлений

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории (см. Создание локальных и сетевых репозиториев) для всех используемых ISO-образов:

1. Обязательные репозитории:
   1. Установочный диск;
   2. Диск с обновлением;
2. Дополнительные репозитории:
   
   1. Диск

См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция

Установка обновления

Рекомендованные варианты установки обновлений

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории (см. Создание локальных и сетевых репозиториев) для всех используемых ISO-образов, доступных на обновляемой машине:

1. 1. со средствами разработки;
   2. Диск с обновлением средств разработки;

И если на обновляемой машине настроен доступ к сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).

Установка обновления с использованием локальных копий ISO-образов

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий ISO-образов. Комплект образов для обновления аналогичен комплекту репозиториев:

1. Обязательные ISO-образы:
   1. Установочный диск;
   2. Диск с обновлением;
2. Дополнительные ISO-образы:
   1. Диск со средствами разработки;
   2. Диск с обновлением средств разработки;

ISO-образы могут быть сохранены как локальные файлы, или предоставлены на подключаемом съемном носителе. Установка обновления в таком случае выполняется с помощью astra-update/fly-astra-update, например:

В приведенном примере предполагается, что образы скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.

Дополнительные примеры использования astra-update

Например, при наличии образов установочного диска и диска обновления установка обновления может быть выполнена командой:

При наличии установочного диска (должен быть зарегистрирован как источник пакетов) и скачанного образа обновления, установка обновления может быть выполнена командой:

При этом понадобится загрузить установочный диск в привод компакт-дисков.

Для более сложных схем обновления, в том числе для обновления средств разработки, инструкция по использованию инструментов astra-update и fly-astra-update доступна по ссылке: fly-astra-update и astra-update - инструменты для установки обновлений.

Установка обновления без использования инструментов fly-astra-update и astra-update.

3. Если для обновления используются файлы с ISO-образами дисков, то для каждого образа нужно выполнить аналогичную процедуру регистрации, предварительно смонтировав, а потом отмонтировав образ:

на вопрос об имени диска ввести

«20211126SE16».

Можно не использовать ключ -m, тогда команда apt-cdrom начиная работу сама отмонтирует ранее установленный диск, выдаст запрос на установку нового диска, а после завершения - отмонтирует установленный диск.
При этом образы дисков по запросу команды apt-cdrom можно монтировать из параллельной терминальной сессии.

4. Команды обновления следует выполнять из сессии суперпользователя (sudo -s) с высоким уровнем целостности, а не через отдельные команды sudo:

5. После завершения регистрации всех компакт-дисков и образов выполнить

команды установки обновлений в режиме имитации (без внесения реальных изменений в систему, ключ -s команды apt), и убедиться, что в результате работы не возникает неустранимых ошибок:

По мере появления приглашения на замену носителей - выполнять замену в соответствии с изложенной выше инструкцией.

6. Выполнить обновление командами:

По мере появления приглашения на замену носителей - выполнять замену в соответствии с изложенной выше инструкцией.

Завершение установки обновления

Действия после установки обновления

Установка ядра linux-5.10

Для того чтобы установить ядро linux-5.10 следует выполнить команду (должен быть доступен репозиторий, содержащий пакеты настоящего обновления): 

После завершения установки ядра будет автоматически обновлен загрузчик Grub. 

Якорь
CoreDel CoreDel

Удаление неиспользуемых пакетов после обновления ядра

Действия при обновлении ядра

Удаление неиспользуемых пакетов после обновления ядра

После установки нового ядра и успешной перезагрузки с обновленным ядром для сокращения занятого дискового пространства и для устранения ложных срабатываний сканеров уязвимостей рекомендуется удалить пакеты, относящиеся к старому ядру. Проверить, какое ядро загружено в данный момент можно командой:

Пример вывода после выполнения команды:

5.

10.0-

1045-generic

Чтобы просмотреть перечень пакетов, относящихся к ядрам Linux и зарегистрированных в ОС, необходимо в терминале выполнить команду:

Пример вывода после выполнения команды:

ii linux-image-4.15-generic
ii linux-image-4.15-hardened
ii linux-image-4.15.3-1-generic
ii linux-image-4.15.3-1-hardened
ii linux-image-4.15.3-141-generic
ii linux-image-4.15.3-141-hardened
ii linux-image-4.15.3-154-generic
ii linux-image-4.15.3-154-hardened
ii linux-image-5.

10-generic
ii linux-image-5.

10-hardened
ii linux-image-5.

10.0-

1045-generic
ii linux-image-5.

10.0-

1045-hardened
ii linux-image-5.4

-

generic
ii linux-image-5.4

-hardened
ii linux-image-

5.4.0-71-generic
ii linux-image-5.4.0-71-hardened
ii linux-image-5.4.0-81-generic
ii linux-image-5.4.0-81-hardened
ii linux-image-hardened

В первом столбце отображается состояние пакета, может принимать следующие значения:

• «rc» — пакет был установлен, но уже удален;
• «ii» — пакет на текущий момент установлен.

Ниже представлен пример сценария для удаления пакетов, относящихся к неиспользуемым ядрам (необходимо запускать от имени администратора с высоким уровнем целостности):

-generic \
linux-image-

4.

15.3-

1-hardened 

\
linux-image-4.15.3-141-generic \
linux-image-4.15.3-141-hardened \
linux-image-4.15.3-154-generic \
linux-image-4.15.3-154-hardened \
linux-image-5.4.0-71-generic \
linux-image-5.4.0-71-hardened "

# Проверка строки и запуск удаления пакетов.
# Для удаления пакета и всех связанных с ним 
# конфигурационных файлов необходимо использовать команду apt purge.
[ -n "$pkgs" ] && apt remove $pkgs

#обновление

Кроме того, можно выборочно удалить пакеты с помощью предпочитаемого менеджера пакетов.

#!/bin/bash

set -e

# Перечень пакетов, дальнейшее использование которых не планируется.
pkgs="linux-image-4.15.3-1

 конфигурационного файла Grub.
update-grub2  

Кроме того, можно выборочно удалить пакеты с помощью предпочитаемого менеджера пакетов.