Обновление безопасности Java

Консервативный инструмент для аудита установок Java в Ubuntu, Debian и производных системах, использующих APT, в частности на серверах iDempiere без контейнеров.

Аудит из GitHub Raw (только чтение)

curl -fsSL https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh | bash -s -- --audit

Если установка Java использует нестандартные пути, сначала скачайте скрипт и выполните bash java-security-update.sh --audit --root /путь.

Безопасное обновление

Не выполняйте curl | sudo bash в производственной среде. Скачайте, проверьте хеш, опубликованный по независимому каналу, и изучите скрипт перед использованием административных привилегий:

curl -fsSLo java-security-update.sh https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh
sha256sum java-security-update.sh
bash -n java-security-update.sh
less java-security-update.sh
bash java-security-update.sh --audit
sudo bash java-security-update.sh --apply

SHA-256, соответствующий первой опубликованной версии:

63bab4224c681feda4b36206ee642848ed3e653870e6b766b86142c39f818173  java-security-update.sh

Поведение

• --audit: обнаруживает бинарные файлы JDK/JRE, поставщиков, расположения, пакеты APT и процессы Java, не изменяя систему.
• --apply: запрашивает доступные версии, имитирует обновления APT для уже установленных пакетов Java и сертификатов, показывает план и требует ввести ACTUALIZAR для продолжения.
• Не заменяет ручные установки JDK и намеренно не меняет мажорную версию (например, с 11 на 17).
• Не перезапускает iDempiere самостоятельно, хотя пост-инсталляционные скрипты APT могут перезапускать службы. Запланируйте окно обслуживания.
• Не гарантирует устранение конкретной CVE. Проверяйте уведомления производителя Java и хранилища сертификатов.
• Существующие процессы Java необходимо перезапустить контролируемым образом, чтобы загрузить обновлённую JVM.
• SHA-256, хранящийся рядом со скриптом, проверяет целостность только в том случае, если ожидаемое значение было получено надёжным способом; злоумышленник, контролирующий репозиторий, мог бы подменить оба.

Локальное использование

git clone [email protected]:Carl0gonzalez/java-security-update.git
cd java-security-update
sha256sum -c java-security-update.sh.sha256
bash java-security-update.sh --audit

Файл Raw в ветке main может измениться. В производственной среде предпочтительно зафиксировать известную ревизию/коммит и проверить его SHA-256 по другому каналу.