如何在不升级OS的情况下升级一个损坏的包(Ubuntu)

Question

我有一个Ubuntu16.04服务器，其中一个crons有一个主要的漏洞，该漏洞在16.04中被列为“不会修复”，但在Ubuntu20.04中被修复。我想拆掉修补程序，但是当我使用sudo apt upgrade cron时，它告诉我它是最新版本(这可能是有意义的，因为它是该操作系统的最新版本)。这是一个生产服务器，目前还没有完全升级OS的范围。

有没有办法在不破坏整个服务器的情况下升级这一点？

Answer 1

如果您的发行版没有提供您感兴趣的更新，您的“最佳”选项通常是下载源代码包 (特别是这个.dsc和相关文件)，并在本地重新构建包。(有关详细说明如何重新构建包的简短示例，请参阅这个答案。)

然而，这确实带来了一些风险，其中两个主要风险是：

• 自您当前使用的版本以来，对包进行的其他更改可能会影响其功能，例如，当前版本可能假设的工作环境类似于它们的目标版本，而不是您实际使用的版本；
• 如果需要的话，您将不再收到软件包的自动更新--实际上，您正在承担为包提供支持的负担。

在这个特定的例子CVE-2017-9525中，漏洞的范围是有限的，详见说明：

我认为实际上利用这个bug需要更新cron包。只要没有对cron的更新，易受攻击的代码就不会运行。因此，如果我们在cron中找到第二个bug，那么我们确实应该同时修复争用条件，但是只要我们不推动cron更新，易受攻击的代码就不会运行。补丁只是缩小了比赛条件的时间窗口。

只有在运行包安装后脚本时，此漏洞才是问题，在大多数情况下，只有在升级包时才会出现此漏洞。(可以用dpkg-reconfigure手动强制执行，但这不会自动发生。)因此，对你来说，最安全的选择似乎是不提这个包裹。