Comment puis-je installer uniquement les mises à jour de sécurité à partir de la ligne de commande ?

Quelques conseils sur la manière de gérer les mises à jour

Ceci s'applique à la fois à Debian et à Ubuntu, mais des instructions plus spécifiques pour Ubuntu suivent.

• Afficher uniquement les mises à jour de sécurité :

  apt-get -s dist-upgrade |grep "^Inst" |grep -i securi 

  o

  sudo unattended-upgrade --dry-run -d

  o

  /usr/lib/update-notifier/apt-check -p

• Afficher tous les paquets pouvant être mis à niveau

  apt-get -s dist-upgrade | grep "^Inst"

• Installer uniquement les mises à jour de sécurité

  apt-get -s dist-upgrade | grep "^Inst" | 
      grep -i securi | awk -F " " {'print $2'} | 
      xargs apt-get install

Notas:

• Parfois, Ubuntu affiche les mises à jour de sécurité comme si elles provenaient du dépôt $release-updates. Il en est ainsi, me dit-on, parce que les développeurs d'Ubuntu poussent les mises à jour de sécurité vers le dépôt $release-updates également pour accélérer leur disponibilité.

  Si c'est le cas, vous pouvez procéder comme suit pour afficher uniquement les mises à jour de sécurité :

  sudo sh -c 'grep ^deb /etc/apt/sources.list | 
      grep security > /etc/apt/sources.security.only.list'

  y

  apt-get -s dist-upgrade -o Dir::Etc::SourceList=/etc/apt/sources.security.only.list -o Dir::Etc::SourceParts=/dev/null  | 
      grep "^Inst" | awk -F " " {'print $2'}

• Vérifiez quels services doivent être redémarrés après la mise à niveau des paquets. Déterminez à l'avance les paquets que vous allez mettre à niveau et planifiez vos redémarrages/redémarrages. Le problème est que si vous ne redémarrez pas un service, il peut encore utiliser une ancienne version d'une bibliothèque (raison la plus courante) qui a été chargée en mémoire avant que vous n'installiez le nouveau paquet qui corrige une vulnérabilité de sécurité ou autre.

  checkrestart -v

  Cependant, gardez à l'esprit que checkrestart peut lister des processus qui ne doivent pas nécessairement être redémarrés. Par exemple, le service PostgreSQL peut conserver dans sa mémoire la référence à un fichier xlog déjà supprimé, ce qui n'est pas une raison valable pour redémarrer le service.

  Par conséquent, une autre façon, plus fiable, de vérifier ceci en utilisant les utils standards est le petit script bash que j'ai honteusement volé à partir de https://locallost.net/?p=233

  Il vérifie si les processus en cours d'exécution sur un système utilisent toujours des bibliothèques supprimées en conservant des copies de celles-ci dans la mémoire active.

  ps xh -o pid |
  while read PROCID; do
         grep 'so.* (deleted)$' /proc/$PROCID/maps 2> /dev/null
         if [ $? -eq 0 ]; then
                 CMDLINE=$(sed -e 's/\x00/ /g' < /proc/$PROCID/cmdline)
                 echo -e "\tPID $PROCID $CMDLINE\n"
         fi
  done

Remplacer /etc/apt/preferences avec les éléments suivants :

Package: *
Pin: release a=lucid-security
Pin-Priority: 500

Package: *
Pin: release o=Ubuntu
Pin-Priority: 50

maintenant un simple apt-get upgrade mettra à jour toutes les mises à jour de sécurité uniquement.

Pourquoi (et comment) cela fonctionne : Le fichier de préférences va épingler tous les paquets de la distribution Ubuntu à la priorité 50, ce qui les rendra moins désirables que les paquets déjà installés. Les fichiers provenant du dépôt de sécurité reçoivent la priorité par défaut (500) afin qu'ils soient pris en compte pour l'installation. Cela signifie que seuls les paquets considérés comme plus désirables que ceux actuellement installés sont des mises à jour de sécurité. Plus d'informations sur l'épinglage dans le Page de manuel apt_preferences .

Vous pouvez promouvoir temporairement une certaine distribution pour les mises à jour avec la fonction --target-release qui fonctionne avec apt-get y aptitude (au moins) qui vous permettra d'épingler certaines versions afin qu'elles soient éligibles pour une mise à niveau.

Si vous souhaitez l'utiliser pour scripts seulement et ne pas le faire par défaut pour le système, vous pouvez placer les règles dans un autre emplacement et utiliser ceci à la place :

apt-get -o Dir::Etc::Preferences=/path/to/preferences_file upgrade

Ceci fera en sorte qu'apt recherche le fichier de préférences à partir d'un emplacement autre que celui par défaut.

Le fichier de préférences donné à titre d'exemple ne s'applique pas aux dépôts de tiers, si vous souhaitez les épingler également vous pouvez utiliser apt-cache policy pour déterminer facilement les clés nécessaires à l'épinglage.

Ce qui suit est confirmé dans Ubuntu 14.04 LTS.

Utilisez le unattended-upgrade paquet.

Regardez le fichier /etc/apt/apt.conf.d/50unattended-upgrades . Il devrait y avoir une section en haut qui est :

// Automatically upgrade packages from these (origin:archive) pairs
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
//  "${distro_id}:${distro_codename}-updates";
//  "${distro_id}:${distro_codename}-proposed";
//  "${distro_id}:${distro_codename}-backports";
};

Notez qu'il a été configuré pour n'autoriser que les mises à niveau non surveillées des paquets de sécurité, par défaut.

Modifier le fichier /etc/apt/apt.conf.d/10periodic similaire à :

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";

Ceci lancera des mises à jour de sécurité automatiques sans surveillance, une fois par jour.

Maintenant, pour exécuter manuellement : sudo unattended-upgrade .

Pour faire un essai à blanc, sans rien faire : sudo unattended-upgrade --dry-run .

Source : https://help.ubuntu.com/14.04/serverguide/automatic-updates.html

Si vous souhaitez installer uniquement les mises à jour de sécurité, la procédure suivante fonctionne. Tout d'abord, elle liste tous les paquets pouvant être mis à jour, ne filtre que ceux qui proviennent d'un dépôt de sécurité, coupe les chaînes retournées au premier champ, puis les passe à apt-get install pour la mise à jour des paquets.

sudo apt list --upgradable | grep security |cut -d\/ -f1|xargs sudo apt-get install -y