Java セキュリティアップデート

APT を使用する Ubuntu、Debian およびその派生ディストリビューションにおける Java インストール、特にコンテナを使用しない iDempiere サーバーを監査するための保守的なツールです。

GitHub Raw からの監査（読み取り専用）

curl -fsSL https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh | bash -s -- --audit

Java のインストールが通常とは異なるパスを使用している場合は、まずスクリプトをダウンロードしてから bash java-security-update.sh --audit --root /パス を実行してください。

安全なアップデート

本番環境では curl | sudo bash を実行しないでください。 ダウンロードし、独立したチャネルで公開されたハッシュを検証し、管理者権限を使用する前にスクリプトを確認してください：

curl -fsSLo java-security-update.sh https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh
sha256sum java-security-update.sh
bash -n java-security-update.sh
less java-security-update.sh
bash java-security-update.sh --audit
sudo bash java-security-update.sh --apply

最初に公開されたバージョンに対応する SHA-256：

63bab4224c681feda4b36206ee642848ed3e653870e6b766b86142c39f818173  java-security-update.sh

動作

• --audit：システムを変更せずに、JDK/JRE バイナリ、プロバイダー、場所、APT パッケージ、および Java プロセスを検出します。
• --apply：利用可能なバージョンを照会し、既にインストールされている Java パッケージと証明書の APT アップデートをシミュレートし、計画を表示して、続行するには ACTUALIZAR と入力することを要求します。
• JDK の手動インストールを置き換えるものではなく、意図的にメジャーバージョンを変更することもありません（例えば 11 から 17 へ）。
• iDempiere 自体を再起動することはありませんが、APT のインストール後スクリプトがサービスを再起動する可能性があります。メンテナンス時間枠をスケジュールしてください。
• 特定の CVE が緩和されていることを保証するものではありません。 Java ベンダーのアドバイザリと証明書ストアを確認してください。
• 既存の Java プロセスは、更新された JVM をロードするために制御された方法で再起動する必要があります。
• スクリプトと共に保存されている SHA-256 は、期待値が信頼できる方法で取得された場合にのみ整合性を検証します。リポジトリを制御する攻撃者は両方を置き換える可能性があります。

ローカルでの使用

git clone [email protected]:Carl0gonzalez/java-security-update.git
cd java-security-update
sha256sum -c java-security-update.sh.sha256
bash java-security-update.sh --audit

main 上の Raw ファイルは変更される可能性があります。本番環境では、既知のリビジョン/コミットを固定し、別のチャネルでその SHA-256 を検証することが推奨されます。