鉴于glibc漏洞，为什么Linux发行版不更新安装映像？

Question

这难道不使得更新新安装的Linux实例的行为不安全吗，因为最初安装的包管理器容易受到攻击吗？我是不是遗漏了什么？

例如，当前的Ubuntu15.10图像日期为10月21日(http://releases.ubuntu.com/15.10)，Fedora 23图像日期为10月30日(http://mirror.cc.vt.edu/pub/fedora/linux/releases/23/Workstation/x86_64/iso)。为什么会这样呢？

这个Ubuntu安全建议说，15.10版本受到了影响：http://www.ubuntu.com/usn/usn-2900-1，但是安装映像似乎从第一次发布以来就没有被更新过。

我的关注点是:据我所知，任何使用glibc执行DNS查询的应用程序都是易受攻击的，包管理器必须执行DNS查询才能找到镜像并以根用户身份运行，并且该漏洞已经知道有一段时间了。

apt和RPM是否使用不同的库来执行DNS查询，或者是否存在一些防御措施来防止此漏洞被利用？

是不是发行版的安全团队根本无法应对每天发现的大量漏洞，即“用电脑?期待特洛伊木马/rootkit！”计算机安全的现实是否必须被接受？

Answer 1

维持分发是一项艰巨的工作。对软件包进行测试、升级、与下游开发人员进行通信等都需要大量的物流支持。

安装磁盘是用户对软件的第一次体验，它只需工作。如果没有，用户就不会安装该软件。这就是为什么发行版只发布点版本并经常升级安装软件的原因。如果您必须在每次安全更新时重新构建软件，您就会经常这样做，您可能会更频繁地遇到质量控制问题，这是可以接受的。

我想说你是对的，软件在第一次安装时就会很脆弱。这是发行版维护人员(很可能)权衡和接受的一个标记。在安装时，通常发生的第一件事是更新软件。在此期间，有人可能会利用glibc漏洞存在一些小风险。在修复glibc漏洞之前进行的唯一DNS查找将是镜像站点，因此攻击者要么必须控制这个漏洞，要么执行MiTM攻击。