Информация

Срочное оперативное обновление, содержащее изменения программного обеспечения операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10152-02 (очередное обновление 4.7), далее по тексту - Astra Linux, внесенные с целью совершенствования функций безопасности в виртуальной среде и контейнерах, а также устранения некоторых ошибок и уязвимостей.

Информация

title	Данное обновление содержит:

обновления (изменения) репозитория пакетов установочного диска (основного репозитория - main);
обновленный базовый репозиторий (base).

Информация

title	Дополнительная информация:

Информация

Данному обновлению соответствует следующий полный номер версии Astra Linux:

4.7.3.8

См. также: Определение установленных обновлений и варианта исполнения Astra Linuxchildren

Предупреждение

Настоящее обновление безопасности не является кумулятивным.

Перед применением данного обновления необходимо предварительно Если планируется обновить только пакеты установочного диска, то предварительно необходимо установить оперативное обновление 4.7.3 (БЮЛЛЕТЕНЬ № 2022-1121SE47).

Примечание
Перечень уязвимостей, закрываемых обновлением, предоставляется после соответствующего обращения в техническую поддержку.

Предупреждение
Если в системе используется программное обеспечение, разработанное с использованием средств разработки, необходимо выполнить обновление базового репозитория (base).

Подсказка
Базовый репозиторий (base) также содержит пакеты основного репозитория (main), размещённого на установочном диске. В связи с этим при обновлении базового репозитория будут обновлены и пакеты основного репозитория.

Ядро Linux, представленное в оперативном обновлении 4.7.3.UU.1, несовместимо с прошивками материнской платы TF307-MB-S-C rev3.0 версии ниже sdk-5.4.

Перед установкой обновления необходимо выполнить обновление прошивки материнской платы в соответствии с инструкцией производителя. Если обновить прошивку не представляется возможным, после установки обновления необходимо настроить загрузку Astra Linux с использованием файла описания аппаратной конфигурации.

Общая информация

Предупреждение

Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в аналогичных используемым конфигурациях (путем установки обновления и перезагрузки).

Примечание

После успешной установки обновления (в том числе, после установки обновления с использованием обновленного базового репозитория) проверка целостности программных пакетов установочного диска (основного репозитория - main) осуществляется утилитой fly-admin-int-check с применением файла gostsums.txt, расположенного в корневом каталоге образа диска обновления repository-update.iso.

В случае применения (установки) оперативного обновления необходимо указать номер применяемого бюллетеня в разделе формуляра экземпляра Astra Linux (например, в разделе «Сведения о бюллетенях») или же в паспорте средства вычислительной техники, функционирующего под управлением Astra Linux.

Порядок установки обновления

Подготовка к установке обновления

Предупреждение

Перед установкой обновлений:

ознакомиться с настоящей инструкцией;
ознакомиться с инструкцией: fly-astra-update и astra-update - инструменты для установки обновлений.

Предупреждение

title	Внимание

В системах с включенным механизмом мандатного контроля целостности обновление необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности.

Установка обновления

основного репозитория (main)

пакетов установочного диска с использованием образа диска

с обновлением

Загрузка и проверка образа диска с обновлением

Скачать образ диска с обновлением с помощью веб-браузера по следующей ссылке:
https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.3/uu/1/iso/repository-update.iso
либо выполнив команду:
Command
wget https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.3/uu/1/iso/repository-update.iso
Загруженный ISO-образ поместить в каталог, например, /mnt на обновляемой системе и выполнить проверку. Возможные варианты проверки:
- проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду:
  Command
  gostsum -d /mnt/repository-update.iso
  Контрольная сумма:
  Информация
  icon false
  4b807e6e40d8d6e6b16fe7584be08ea631df7df68836e49d443cd97c3f2cfc84d5cf7d3d6de4ffd0698031d681623bed5628375052a03881c04ca671ad77485e
- проверка отсоединенной электронной подписи ISO-образа посредством ПО КриптоПро CSP. Предполагается, что ПО КриптоПро уже установлено на компьютере. Подробно порядок установки и работы с КриптоПро CSP описан в статьях Работа с КриптоПро CSP и КриптоПро и сервис электронной подписи fly-csp.
  Порядок проверки:
  1. скачать усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" с помощью веб-браузера по следующей ссылке:
    https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.3/uu/1/iso/repository-update.iso.sig
    либо выполнив команду:
    Command
    wget https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.3/uu/1/iso/repository-update.iso.sig
  2. загруженную электронную подпись поместить в каталог /mnt на обновляемой системе,
  3. перейти в каталог /mnt и выполнить проверку, указав в качестве хранилища сертификатов саму подпись (ключ -f <имя_файла_подписи>):
    Command
    /opt/cprocsp/bin/amd64/cryptcp -verify -detached repository-update.iso repository-update.iso.sig -f repository-update.iso.sig
    В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести "y" и нажать клавишу <Enter>.
    Сообщение вида:
    Блок кода
    Подпись проверена. [ErrorCode: 0x00000000]
    говорит о том, что проверка подписи завершена успешно.

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории из установочного диска и образа диска с обновлением (см. Создание локальных и сетевых репозиториев) и если на обновляемой системе настроен доступ к этим сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

Command
sudo astra-update -a -r -T

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update - инструменты для установки обновлений).

Установка обновления с использованием локальной копии образа диска с обновлением

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий образа установочного диска и образа диска с обновлением. Образы дисков могут быть сохранены как локальные файлы, или размещены на подключаемом съемном носителе. Установка обновления в таком случае может быть выполнена командой:

Command
sudo astra-update -a /mnt/<имя_образа_установочного_диска> /mnt/repository-update.iso

В приведенном примере предполагается, что образы дисков скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt.
Подробности также см. в описании инструментов fly-astra-update и astra-update.

Установка обновления

основного репозитория (main)

пакетов установочного диска с использованием зафиксированной ветки интернет-репозитория Astra Linux

Информация

Для Astra Linux Special Edition РУСБ.10152-02 (очередное обновление 4.7) в репозиториях доступны дополнительные аппаратно-зависимые компоненты. На момент выпуска настоящего оперативного обновления это:

baikal1;
huawei1;
mtrust1;
mesa22.

Подключить зафиксированную ветку интернет-репозитория Astra Linux, для этого в файле /etc/apt/sources.list добавить следующие строки (на примере аппаратно-зависимого компонента baikal1):

Блок кода

# Основной репозиторий, включая аппаратно-зависимый компонент baikal1:
deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.3/uu/1/repository-main/ 4.7_arm main contrib non-free baikal1
 
# Актуальное оперативное обновление основного репозитория, включая аппаратно-зависимый компонент baikal1:
deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.3/uu/1/repository-update/ 4.7_arm main contrib non-free baikal1

Выполнить повторную синхронизацию файлов описаний пакетов с их источником:
Command
sudo apt update
Установить обновление, выполнив команду:
Command
sudo astra-update -a -r -T

Установка обновления пакетов базового репозитория (base)

С использованием зафиксированной ветки интернет-репозитория Astra Linux

Информация

Для Astra Linux Special Edition РУСБ.10152-02 (очередное обновление 4.7) в репозиториях доступны дополнительные аппаратно-зависимые компоненты. На момент выпуска настоящего оперативного обновления это:

baikal1;
huawei1;
mtrust1;
mesa22.

Подключить зафиксированную ветку интернет-репозитория Astra Linux, для этого в файле /etc/apt/sources.list добавить следующие строки:

Блок кода

# Базовый репозиторий
deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.3/uu/1/repository-base/     4.7_arm main contrib non-free
# Базовый репозиторий - аппаратно-зависимые компоненты
deb https://dl.astralinux.ru/astra/frozen/4.7_arm/4.7.3/uu/1/repository-base/     4.7_arm <название_аппаратно_зависимого_компонента>

Выполнить повторную синхронизацию файлов описаний пакетов с их источником:
Command
sudo apt update
Установить обновление, выполнив команду:
Command
sudo astra-update -a -r -T

С использованием tar-архива обновленного базового репозитория (base)

Информация
Ссылка на tar-архив обновленного базового репозитория предоставляется в личном кабинете пользователя.

Скачать tar-архив обновленного базового репозитория по ссылке, представленной в личном кабинете.

Загруженный tar-архив поместить в каталог, например, /mnt на обновляемой системе и выполнить проверку. Возможные варианты проверки:

проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду:
Command
gostsum /mnt/base-4.7.3-uu1-1027.1101.20222023_15.11.43.tgz
Контрольная сумма:
Информация
icon false
808ea885899175ae6f2c42502885da65098e800c6c0d50442764cd1b55dad3e3d4d77baff96ef095a5dcab0d6abca60c41501501c74289a9eb7ed2831378e64f

проверка отсоединенной электронной подписи ISOtar-образа архива посредством ПО КриптоПро CSP. Предполагается, что ПО КриптоПро уже установлено на компьютере. Подробно порядок установки и работы с КриптоПро CSP описан в статьях Работа с КриптоПро CSP и КриптоПро и сервис электронной подписи fly-csp.
Порядок проверки:

скачать усиленную квалифицированную электронную подпись ООО "РусБИТех-Астра" по ссылке, представленной в личном кабинете,
загруженный файл электронной подписи поместить в каталог /mnt на обновляемой системе,

перейти в каталог /mnt и выполнить проверку, указав в качестве хранилища сертификатов саму подпись (ключ -f <имя_файла_подписи>):

Command
/opt/cprocsp/bin/amd64/cryptcp -verify -detached base-4.7.3-10uu1-27.1101.20222023_15.11.43.tgz base-4.7.3-10uu1-27.1101.20222023_15.11.43.tgz.sig -f base-4.7.3-10uu1-27.1101.20222023_15.11.43.tgz.sig

В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести "y" и нажать клавишу <Enter>.

Сообщение вида:

Блок кода
Подпись проверена. [ErrorCode: 0x00000000]

говорит о том, что проверка подписи завершена успешно.

Перейти в каталог с tar-архивом обновленного базового репозитория.

Распаковать tar-архив, например, в каталог /srv/base-repository:

Command

sudo mkdir /srv/base-repository

sudo tar zxvf base-4.7.3-10uu1-27.1101.20222023_15.11.43.tgz -C /srv/base-repository/

Информация
Если предполагается устанавливать обновление на компьютеры не используя сетевой репозиторий, то распаковать архив можно сразу на съемный носитель, и далее установку выполнять с этого носителя.

Полученный в результате распаковки архива каталог /srv/base-repository/ подключить в качестве репозитория в соответствии с принятыми правилами использования репозиториев (см. Подключение репозиториев с пакетами в ОС Astra Linux и установка пакетов). Для архива, распакованного в указанный локальный каталог, строки описания репозитория выглядит следующим образом:

Блок кода

# Базовый репозиторий
deb  file:/srv/base-repository/   4.7_arm main contrib non-free
# Базовый репозиторий - аппаратно-зависимые компоненты
deb  file:/srv/base-repository/   4.7_arm <название_аппаратно_зависимого_компонента>

Выполнить повторную синхронизацию файлов описаний пакетов с их источником:
Command
sudo apt update
Установить обновление, выполнив команду:
Command
sudo astra-update -a -r -T

Завершение установки обновления

Примечание

Если настоящее обновление установлено на Astra Linux, развернутой на аппаратной платформе материнской платы TF307-MB-S-C rev3.0, и версия прошивки этой материнской платы ниже sdk-5.4, необходимо не перезагружая систему выполнить действия, описанные в подразделе Настройка загрузки с использованием файла описания аппаратной конфигурации.

Предупреждение
После выполнения обновления перезагрузить систему.

Действия после установки обновления

Якорь
dtb-grub
dtb-grub
Настройка загрузки с использованием файла описания аппаратной конфигурации

Предупреждение

Ядро Astra Linux, представленное в оперативном обновлении 4.7.3.UU.1, несовместимо с прошивками материнской платы TF307-MB-S-C rev3.0 версии ниже sdk-5.4. Перед установкой оперативного обновления 4.7.3 на компьютеры с материнской платой TF307-MB-S-C необходимо обновить прошивку материнской платы до версии не ниже sdk-5.4 или выполнить указанные ниже действия. Невыполнение настоящих рекомендаций приведет к неработоспособности оборудования после установки обновления.

Если обновить прошивку материнской платы не представляется возможным, то необходимо выполнить следующие действия:

Скопировать файл описания аппаратной конфигурации bm1000-mbm10.dtb в каталог /boot, командой:
Command
sudo cp -f /usr/lib/firmware/5.4.0-110-generic/device-tree/baikal/bm1000-mbm10.dtb /boot
Отредактировать конфигурационный файл /boot/grub/grub.cfg — в разделе menuentry, описывающем загрузку обновленного ядра, добавить строку вида:
Блок кода
devicetree /boot/bm1000-mbm10.dtb

Дерево страниц

Сравнение версий

Старая версия 3

Новая версия Текущий

Ключ

Оглавление

Оглавление

Общая информация

Порядок установки обновления

Подготовка к установке обновления

Установка обновления

пакетов установочного диска с использованием образа диска

Загрузка и проверка образа диска с обновлением

Установка обновления с использованием сетевых репозиториев

Установка обновления с использованием локальной копии образа диска с обновлением

Установка обновления

пакетов установочного диска с использованием зафиксированной ветки интернет-репозитория Astra Linux

Установка обновления пакетов базового репозитория (base)

С использованием зафиксированной ветки интернет-репозитория Astra Linux

С использованием tar-архива обновленного базового репозитория (base)

Завершение установки обновления

Действия после установки обновления

Якорь
dtb-grub
dtb-grub
Настройка загрузки с использованием файла описания аппаратной конфигурации

Дерево страниц

История страницы

Сравнение версий

Старая версия 3

Новая версия Текущий

Ключ

Оглавление

Оглавление

Общая информация

Порядок установки обновления

Подготовка к установке обновления

Установка обновления

пакетов установочного диска с использованием образа диска

Загрузка и проверка образа диска с обновлением

Установка обновления с использованием сетевых репозиториев

Установка обновления с использованием локальной копии образа диска с обновлением

Установка обновления

пакетов установочного диска с использованием зафиксированной ветки интернет-репозитория Astra Linux

Установка обновления пакетов базового репозитория (base)

С использованием зафиксированной ветки интернет-репозитория Astra Linux

С использованием tar-архива обновленного базового репозитория (base)

Завершение установки обновления

Действия после установки обновления

Якорьdtb-grubdtb-grubНастройка загрузки с использованием файла описания аппаратной конфигурации

Якорь
dtb-grub
dtb-grub
Настройка загрузки с использованием файла описания аппаратной конфигурации