包是特定于Linux发行版的吗？如何防范卡拉克

Question

我运行多个Linux发行版。我正在研究如何修补以对抗卡拉克。

Linux中易受攻击的包是“wpa_supplicant”。

根据供应商的回应，用于wpa_supplicant的"Linux修补程序“可以找到这里，而(例如) Fedora补丁可以找到这里，而Debian修补程序可以找到这里。

在什么情况下，我可以直接下载并应用所谓的"Linux修补程序“？这仅仅是在我直接使用Linux内核的情况下吗？否则，如果我在Linux的特定发行版上运行，是否需要等待来自该特定发行版的修补程序？

注意，我的问题涉及一个特定的漏洞(K齿条)，但我试图大致了解项目推出 (在本例中是hostapd和wpa_supplicant项目)与不同的Linux发行版之间的区别。

Answer 1

这个问题就像什么是分发？

发行版调整并集成了整个发行版中的包，如路径、手册、init脚本、日志、cronjob、防火墙等。此外，它们还配置要使用的包并与特定的其他包(密码库版本、要使用的随机生成器等)集成。它们也适用于默认配置文件。

因此，分发二进制文件中有许多更改。此外，还有测试。

上游提供了源代码和功能，您可以获取原始源代码并自己编译。但是你需要理解(并且阅读所有关于如何编译和如何安装程序的原始文档)。Linux修补程序将应用于原始源。

如果您知道一些编程，可以下载发行版的源代码并应用修补程序，并构建和安装修改过的包。请记住修改changelog或build命令，以便具有本地版本后缀，以便查看是否有原始版本或修补版本。

开源也有能力使用这样的方法。但我不会第一次在重要项目上做这件事。

Answer 2

是的，所有Linux发行版都有自己的包。它们大多为自动更新(yum/dnf/apt)提供了一些工具。因此，当分发提供者(公司或社区)修复此问题时，应该可以使用前面提到的自动更新系统进行更新。