Общая информация

Оперативное обновление представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционной системы специального назначения «Astra Linux Special Edition» РУСБ.10015-01 (очередное обновление 1.6), далее по тексту - Astra Linux.

Данное обновление включает в себя:

• БЮЛЛЕТЕНЬ № 20211008SE16 - оперативное обновление 9
• БЮЛЛЕТЕНЬ № 20210730SE16 - оперативное обновление 8
• БЮЛЛЕТЕНЬ № 20210723SE16MD
• БЮЛЛЕТЕНЬ № 20210611SE16 - оперативное обновление 7
• БЮЛЛЕТЕНЬ № 20210317SE16MD
• БЮЛЛЕТЕНЬ № 20210128SE16MD
• БЮЛЛЕТЕНЬ № 20201207SE16MD
• БЮЛЛЕТЕНЬ № 20200921SE16MD
• БЮЛЛЕТЕНЬ № 20200807SE16MD
• БЮЛЛЕТЕНЬ № 20200722SE16 - оперативное обновление 6
• БЮЛЛЕТЕНЬ № 20200526SE16MD
• БЮЛЛЕТЕНЬ № 20200327SE16 - оперативное обновление 5
• БЮЛЛЕТЕНЬ № 20191029SE16 - оперативное обновление 4
• БЮЛЛЕТЕНЬ № 20190912SE16 - оперативное обновление 3
• БЮЛЛЕТЕНЬ № 20190712SE16MD
• БЮЛЛЕТЕНЬ № 20190621SE16MD
• БЮЛЛЕТЕНЬ № 20190529SE16MD
• БЮЛЛЕТЕНЬ № 20190222SE16 - оперативное обновление 2
• БЮЛЛЕТЕНЬ № 20181229SE16 - оперативное обновление 1

Важная информация по применению обновления

Тестирование обновления перед установкой

Если при установке недоступны пакеты, расположенные на установочном (основном) диске

Если установочный диск и образ обновления подключены с помощью apt-cdrom (нерекомендуемый способ установки обновлений), то выполнение обновления может завершаться ошибкой из-за не найденных пакетов. При возникновении подобных ошибок:

1. Удалить из файла /etc/apt/sources.list все зарегистрированные диски, кроме установочного диска;

2. Выполнить команду:
   

   sudo apt update

3. Установить не найденные пакеты с установочного диска. Пример команды установки с полным перечнем пакетов, из-за отсутствия которых возможно появление ошибки: 

   sudo apt install libvulkan1 libev4 qdbus-qt5 libunwind8 reprepro libcurl3 qt5-image-formats-plugins \
   libxml++2.6-2v5 libxml-xpath-perl libxmlrpc-core-c3 libxmlrpc-epi0 libxml2 libxml-parser-perl

4. Повторить процедуру регистрации образов дисков обновления и установки обновления в соответствии с инструкцией Установка оперативных обновлений Astra Linux Special Edition с компакт-дисков;

Для предупреждения возникновения подобных ошибок следует использовать обновление из сетевых репозиториев Astra Linux (см. Создание локальных и сетевых репозиториев) или ISO-образов Astra Linux с помощью инструментов fly-astra-update и astra-update (порядок установки этих инструментов для выполнения настоящего обновления описан в разделе Установка инструментов для обновления).

Порядок установки обновления

Подготовка к установке обновления

Для установки настоящего оперативного обновления и последующих оперативных обновлений рекомендуется использовать следующие инструменты:

• инструмент командной строки — пакет astra-update;
• графический инструмент — пакет fly-astra-update.

Если указанный инструмент (инструменты) не были установлены ранее, то установить их (см. Установка fly-astra-update/astra-update из репозитория и Установка fly-astra-update/astra-update из образа обновления).

Загрузка и проверка образов обновления

Образ диска с обновлением доступен для скачивания по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20211126SE16/20211126SE16.iso;

Загруженный ISO-образ поместить в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы указанной ниже.
Для получения контрольной суммы выполнить команду:

Контрольная сумма:

Образ диска с обновлением средств разработки, соответствующий настоящему бюллетеню, доступен по ссылке:
https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/devel/20211126SE16/repository-update-dev.iso

Контрольная сумма образа диска с обновлением средств разработки:

Установка инструментов для обновления

Установка fly-astra-update/astra-update из репозитория

Если доступен репозиторий пакетов, содержащий пакеты обновления, установку можно выполнить следующими командами:

• установка графического инструмента fly-astra-update (при этом будет автоматически установлен инструмент командной строки astra-update):

  sudo apt update
  sudo apt install fly-astra-update

• или установка инструмента командной строки astra-update:

  sudo apt update
  sudo apt install astra-update

Установка fly-astra-update/astra-update из образа обновления

1. Примонтировать загруженный образ обновления, например, в каталог /media/cdrom:

   sudo mount /mnt/20211126SE16.iso /media/cdrom

2. Установить пакеты:
   только инструмент командной строки astra-update:

   sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb
   или инструмент командной строки astra-update и графический инструмент fly-astra-update:
   sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb
   sudo apt install /media/cdrom/pool/non-free/libf/libflyadmin/libflyadminpackage_*.deb
   sudo apt install /media/cdrom/pool/non-free/f/fly-astra-update/fly-astra-update_*.deb

3. Отмонтировать образ:

   sudo umount /media/cdrom

Проверка наличия места в дисковом разделе /boot

Если при установке системы был создан отдельный загрузочный раздел, то перед установкой обновлений необходимо определить размер свободного пространства на этом разделе. Для этого в терминале выполнить команду:

В зависимости от установленных ранее оперативных обновлений для установки обновлённых ядер linux может потребоваться до 280 МБ. Если размер свободного пространства на дисковом разделе /boot недостаточен, то рекомендуется:

1. Либо увеличить размер дискового раздела /boot (рекомендуется не менее 512МБ).

2. Либо, если увеличить размер дискового раздела /boot не представляется возможным, удалить неиспользуемое ядро (ядра). Подробнее — см. раздел Удаление неиспользуемых пакетов после обновления ядра.

См. также статью Увеличение размера boot при стандартной разметке LVM. Краткая инструкция.

Установка обновления

Рекомендованные варианты установки обновлений

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории (см. Создание локальных и сетевых репозиториев) для всех используемых ISO-образов:

1. Обязательные репозитории:
   1. Установочный диск;
   2. Диск с обновлением;
2. Дополнительные репозитории:
   
   1. Диск со средствами разработки;
   2. Диск с обновлением средств разработки;

И если на обновляемой машине настроен доступ к сетевым репозиториям в файле /etc/apt/sources.list, то обновление может быть установлено командой:

Установка обновления с использованием локальных копий ISO-образов

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий ISO-образов. Комплект образов для обновления аналогичен комплекту репозиториев:

1. Обязательные ISO-образы:
   1. Установочный диск;
   2. Диск с обновлением;
2. Дополнительные ISO-образы:
   1. Диск со средствами разработки;
   2. Диск с обновлением средств разработки;

ISO-образы могут быть сохранены как локальные файлы, или предоставлены на подключаемом съемном носителе. Установка обновления в таком случае выполняется с помощью astra-update/fly-astra-update, например:

Дополнительные примеры использования astra-update

Например, при наличии образов установочного диска и диска обновления установка обновления может быть выполнена командой:

При наличии установочного диска (должен быть зарегистрирован как источник пакетов) и скачанного образа обновления, установка обновления может быть выполнена командой:

Для более сложных схем обновления, в том числе для обновления средств разработки, инструкция по использованию инструментов astra-update и fly-astra-update доступна по ссылке: fly-astra-update и astra-update - инструменты для установки обновлений.

Установка обновления без использования инструментов fly-astra-update и astra-update.

Завершение установки обновления

Действия после установки обновления

Установка ядра linux-5.10

Для того чтобы установить ядро linux-5.10 следует выполнить команду (должен быть доступен репозиторий, содержащий пакеты настоящего обновления): 

После завершения установки ядра будет автоматически обновлен загрузчик Grub. 

Удаление неиспользуемых пакетов после обновления ядра

После установки нового ядра и успешной перезагрузки с обновленным ядром для сокращения занятого дискового пространства и для устранения ложных срабатываний сканеров уязвимостей рекомендуется удалить пакеты, относящиеся к старому ядру. Проверить, какое ядро загружено в данный момент можно командой:

Пример вывода после выполнения команды:

5.10.0-1045-generic

Чтобы просмотреть перечень пакетов, относящихся к ядрам Linux и зарегистрированных в ОС, необходимо в терминале выполнить команду:

ii linux-image-4.15-generic
ii linux-image-4.15-hardened
ii linux-image-4.15.3-1-generic
ii linux-image-4.15.3-1-hardened
ii linux-image-4.15.3-141-generic
ii linux-image-4.15.3-141-hardened
ii linux-image-4.15.3-154-generic
ii linux-image-4.15.3-154-hardened
ii linux-image-5.10-generic
ii linux-image-5.10-hardened
ii linux-image-5.10.0-1045-generic
ii linux-image-5.10.0-1045-hardened
ii linux-image-5.4-generic
ii linux-image-5.4-hardened
ii linux-image-5.4.0-71-generic
ii linux-image-5.4.0-71-hardened
ii linux-image-5.4.0-81-generic
ii linux-image-5.4.0-81-hardened
ii linux-image-hardened

В первом столбце отображается состояние пакета, может принимать следующие значения:

• «rc» — пакет был установлен, но уже удален;
• «ii» — пакет на текущий момент установлен.

Ниже представлен пример сценария для удаления пакетов, относящихся к неиспользуемым ядрам (необходимо запускать от имени администратора с высоким уровнем целостности):

#!/bin/bash

set -e

# Перечень пакетов, дальнейшее использование которых не планируется.
pkgs="linux-image-4.15.3-1-generic \
linux-image-4.15.3-1-hardened \
linux-image-4.15.3-141-generic \
linux-image-4.15.3-141-hardened \
linux-image-4.15.3-154-generic \
linux-image-4.15.3-154-hardened \
linux-image-5.4.0-71-generic \
linux-image-5.4.0-71-hardened "

# Проверка строки и запуск удаления пакетов.
# Для удаления пакета и всех связанных с ним 
# конфигурационных файлов необходимо использовать команду apt purge.
[ -n "$pkgs" ] && apt remove $pkgs

#обновление конфигурационного файла Grub.
update-grub2  

Кроме того, можно выборочно удалить пакеты с помощью предпочитаемого менеджера пакетов.