Ubuntu中的内核回滚会危及安全性吗？

Question

我最近更新了我的内核，并注意到它正在影响我的图形驱动程序。作为一个快速修复，我回滚驱动程序，但想知道这是否影响我的系统安全以任何方式？

使用64位Ubuntu 14.04 -3.19.0-47-通用

Answer 1

它不再影响您的安全性，就像使用旧版本一样。

回滚不会做任何特别的事情。

若要了解回滚或省略的特定更新是否包含严重的安全修补程序，请查看所拒绝版本的变更量。因此，访问http://changelogs.ubuntu.com/changelogs/pool/main/l/linux/并选择相应的版本目录，然后打开changelog文件并检查它：

它将包含以内核更新版本为标题的部分。下面是4.2.0-30.36变更量的前两部分，例如：

linux (4.2.0-30.36) wily; urgency=high

  [ Kamal Mostafa ]

  * Release Tracking Bug
    - LP: #1550037

  [ Upstream Kernel Changes ]

  * drm/vmwgfx: Fix an fb unlocking bug
    - LP: #1548587

 -- Kamal Mostafa <kamal@canonical.com>  Thu, 25 Feb 2016 15:02:05 -0800

linux (4.2.0-30.35) wily; urgency=low

  [ Seth Forshee ]

  * SAUCE: cred: Add clone_cred() interface
    - LP: #1531747, #1534961, #1535150
    - CVE-2016-1575 CVE-2016-1576
  * SAUCE: overlayfs: Use mounter's credentials instead of selectively
    raising caps
    - LP: #1531747, #1534961, #1535150
    - CVE-2016-1575 CVE-2016-1576
  * SAUCE: overlayfs: Skip permission checking for trusted.overlayfs.*
    xattrs
    - LP: #1531747, #1534961, #1535150
    - CVE-2016-1575 CVE-2016-1576
  * SAUCE: overlayfs: Be more careful about copying up sxid files
    - LP: #1534961, #1535150
    - CVE-2016-1575 CVE-2016-1576
  * SAUCE: overlayfs: Propogate nosuid from lower and upper mounts
    - LP: #1534961, #1535150
    - CVE-2016-1575 CVE-2016-1576

 -- Luis Henriques <luis.henriques@canonical.com>  Fri, 19 Feb 2016 10:25:02 +0000

[...many more lines...]

如您所见，每个changelog也包含所有以前的changelogs。最新的变化是最重要的。看一下第一行，最新变化的标题：

linux (4.2.0-30.36) wily; urgency=high

你注意到urgency=high了吗？这意味着这是一个重要的安全更新，如果系统是可攻击的(所有连接到公共网络或使用可移动媒体的系统都是可攻击的)，那么您就不应该忽略它，并且您关心安全性。

当然，您必须检查您自己的特定内核版本，因为我不知道。您可以找到使用uname -r运行的内核版本，或者使用apt-cache policy linux-image-generic的确切版本(包括在.之后的编号)。

Answer 2

我将在上面第二次回答Byte指挥官的问题，并为那些可能被所有代码/ changelog引用所迷惑的人添加两个简化的基本要点：

1. 据我所知，并非所有的安全更新都依赖于内核。在更新包时，有时会对单个包而不是内核本身进行安全更新。即使您回滚您的内核，您仍然可以从这些包中获得新的安全更新的好处。
2. 它实际上取决于您的特定内核，您要回滚回的内核，您可能进行的任何系统范围的更改或添加，以及您正在使用的其他软件/硬件的现有安全性，包括您的网络。当对内核进行重大安全更新时，它可能适用于所有硬件，也可能不适用于所有网络/网络类型。显然，有时主要的安全漏洞会被修复，适用于所有或几乎所有的系统，但正如Byte指挥官所说，最好的做法是阅读相关的发布说明/ changelogs，以确定这是否适用于您。