Java 보안 업데이트

APT를 사용하는 Ubuntu, Debian 및 파생 배포판에서 Java 설치를 감사하기 위한 보수적인 도구로, 특히 컨테이너를 사용하지 않는 iDempiere 서버에 적합합니다.

GitHub Raw에서 감사 (읽기 전용)

curl -fsSL https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh | bash -s -- --audit

Java 설치가 일반적이지 않은 경로를 사용하는 경우, 먼저 스크립트를 다운로드한 후 bash java-security-update.sh --audit --root /경로를 실행하십시오.

안전한 업데이트

프로덕션 환경에서 curl | sudo bash를 실행하지 마십시오. 다운로드하고, 독립적인 채널에서 게시된 해시를 검증하며, 관리자 권한을 사용하기 전에 스크립트를 검토하십시오:

curl -fsSLo java-security-update.sh https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh
sha256sum java-security-update.sh
bash -n java-security-update.sh
less java-security-update.sh
bash java-security-update.sh --audit
sudo bash java-security-update.sh --apply

첫 번째 게시 버전에 해당하는 SHA-256:

63bab4224c681feda4b36206ee642848ed3e653870e6b766b86142c39f818173  java-security-update.sh

동작 방식

• --audit: 시스템을 수정하지 않고 JDK/JRE 바이너리, 공급자, 위치, APT 패키지 및 Java 프로세스를 탐색합니다.
• --apply: 사용 가능한 버전을 조회하고, 이미 설치된 Java 패키지 및 인증서의 APT 업데이트를 시뮬레이션하며, 계획을 표시하고 계속하려면 ACTUALIZAR를 입력하도록 요구합니다.
• 수동 JDK 설치를 대체하지 않으며, 의도적으로 주 버전을 변경하지 않습니다(예: 11에서 17로).
• iDempiere를 자체적으로 재시작하지 않지만, APT 사후 설치 스크립트가 서비스를 재시작할 수 있습니다. 유지보수 시간대를 예약하십시오.
• 특정 CVE가 완화되었음을 보장하지 않습니다. Java 제조사의 권고 및 인증서 저장소를 확인하십시오.
• 기존 Java 프로세스는 업데이트된 JVM을 로드하기 위해 통제된 방식으로 재시작해야 합니다.
• 스크립트와 함께 저장된 SHA-256은 예상 값이 신뢰할 수 있는 방식으로 획득된 경우에만 무결성을 검증합니다. 저장소를 제어하는 공격자는 두 값을 모두 대체할 수 있습니다.

로컬 사용

git clone [email protected]:Carl0gonzalez/java-security-update.git
cd java-security-update
sha256sum -c java-security-update.sh.sha256
bash java-security-update.sh --audit

main의 Raw 파일은 변경될 수 있습니다. 프로덕션 환경에서는 알려진 리비전/커밋을 고정하고 별도의 채널을 통해 해당 SHA-256을 검증하는 것이 바람직합니다.