Java Security Update

Ferramenta conservadora para auditar instalações Java no Ubuntu, Debian e derivados que usam APT, particularmente servidores iDempiere sem contêineres.

Auditoria a partir do GitHub Raw (somente leitura)

curl -fsSL https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh | bash -s -- --audit

Se a instalação do Java utiliza caminhos não habituais, primeiro baixe o script e execute bash java-security-update.sh --audit --root /caminho.

Atualização segura

Não executar curl | sudo bash em produção. Baixe, verifique o hash publicado por um canal independente e revise o script antes de usar privilégios administrativos:

curl -fsSLo java-security-update.sh https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh
sha256sum java-security-update.sh
bash -n java-security-update.sh
less java-security-update.sh
bash java-security-update.sh --audit
sudo bash java-security-update.sh --apply

SHA-256 correspondente à primeira versão publicada:

63bab4224c681feda4b36206ee642848ed3e653870e6b766b86142c39f818173  java-security-update.sh

Comportamento

• --audit: descobre binários JDK/JRE, provedores, localizações, pacotes APT e processos Java, sem modificar o sistema.
• --apply: consulta versões disponíveis, simula atualizações APT de pacotes Java e certificados já instalados, mostra o plano e exige digitar ACTUALIZAR para continuar.
• Não substitui instalações manuais de JDK e não altera deliberadamente de versão maior (11 para 17, por exemplo).
• Não reinicia o iDempiere por si só, embora scripts pós-instalação do APT possam reiniciar serviços. Programe uma janela de manutenção.
• Não garante que uma CVE específica esteja mitigada. Verifique avisos do fabricante do Java e repositórios de certificados.
• Os processos Java existentes devem ser reiniciados de forma controlada para carregar a JVM atualizada.
• O SHA-256 armazenado junto ao script verifica a integridade apenas se o valor esperado foi obtido de maneira confiável; um atacante com controle do repositório poderia substituir ambos.

Uso local

git clone [email protected]:Carl0gonzalez/java-security-update.git
cd java-security-update
sha256sum -c java-security-update.sh.sha256
bash java-security-update.sh --audit

O arquivo Raw em main pode mudar. Em produção, é preferível fixar uma revisão/commit conhecido e verificar seu SHA-256 por um canal distinto.