Java सुरक्षा अपडेट

Ubuntu, Debian और APT का उपयोग करने वाले इसके डेरिवेटिव पर Java इंस्टॉलेशन का ऑडिट करने के लिए एक रूढ़िवादी टूल, विशेष रूप से बिना कंटेनर वाले iDempiere सर्वरों पर।

GitHub Raw से ऑडिट (केवल पढ़ने के लिए)

curl -fsSL https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh | bash -s -- --audit

यदि Java इंस्टॉलेशन असामान्य पथों का उपयोग करता है, तो पहले स्क्रिप्ट डाउनलोड करें और bash java-security-update.sh --audit --root /ruta चलाएँ।

सुरक्षित अपडेट

प्रोडक्शन में curl | sudo bash न चलाएँ। डाउनलोड करें, किसी स्वतंत्र चैनल द्वारा प्रकाशित हैश सत्यापित करें और प्रशासनिक विशेषाधिकारों का उपयोग करने से पहले स्क्रिप्ट की समीक्षा करें:

curl -fsSLo java-security-update.sh https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh
sha256sum java-security-update.sh
bash -n java-security-update.sh
less java-security-update.sh
bash java-security-update.sh --audit
sudo bash java-security-update.sh --apply

पहले प्रकाशित संस्करण के अनुरूप SHA-256:

63bab4224c681feda4b36206ee642848ed3e653870e6b766b86142c39f818173  java-security-update.sh

व्यवहार

• --audit: सिस्टम को संशोधित किए बिना JDK/JRE बाइनरी, प्रदाताओं, स्थानों, APT पैकेजों और Java प्रक्रियाओं का पता लगाता है।
• --apply: उपलब्ध संस्करणों की जाँच करता है, पहले से इंस्टॉल Java पैकेजों और प्रमाणपत्रों के APT अपडेट का अनुकरण करता है, योजना दिखाता है और जारी रखने के लिए ACTUALIZAR लिखना आवश्यक है।
• यह JDK के मैन्युअल इंस्टॉलेशन को प्रतिस्थापित नहीं करता और जानबूझकर प्रमुख संस्करण नहीं बदलता (उदाहरण के लिए 11 से 17)।
• यह स्वयं iDempiere को पुनः आरंभ नहीं करता, हालाँकि APT के पोस्ट-इंस्टॉलेशन स्क्रिप्ट सेवाओं को पुनः आरंभ कर सकते हैं। रखरखाव विंडो निर्धारित करें।
• यह गारंटी नहीं देता कि कोई विशेष CVE कम किया गया है। Java निर्माता की सूचनाओं और प्रमाणपत्र भंडारों को सत्यापित करें।
• अपडेट किए गए JVM को लोड करने के लिए मौजूदा Java प्रक्रियाओं को नियंत्रित तरीके से पुनः आरंभ करना होगा।
• स्क्रिप्ट के साथ संग्रहीत SHA-256 केवल तभी अखंडता सत्यापित करता है जब अपेक्षित मान विश्वसनीय रूप से प्राप्त किया गया हो; रिपॉजिटरी पर नियंत्रण रखने वाला हमलावर दोनों को प्रतिस्थापित कर सकता है।

स्थानीय उपयोग

git clone [email protected]:Carl0gonzalez/java-security-update.git
cd java-security-update
sha256sum -c java-security-update.sh.sha256
bash java-security-update.sh --audit

main में Raw फ़ाइल बदल सकती है। प्रोडक्शन में, किसी ज्ञात रिवीज़न/कमिट को पिन करना और किसी भिन्न चैनल से उसका SHA-256 सत्यापित करना बेहतर है।