Java 安全更新

用于审计 Ubuntu、Debian 及使用 APT 的衍生发行版中 Java 安装的保守型工具，特别适用于未使用容器的 iDempiere 服务器。

从 GitHub Raw 进行审计（只读）

curl -fsSL https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh | bash -s -- --audit

如果 Java 安装使用非标准路径，请先下载脚本并执行 bash java-security-update.sh --audit --root /路径。

安全更新

请勿在生产环境中执行 curl | sudo bash。 请先下载脚本，通过独立渠道核验公布的哈希值，并在使用管理员权限之前审查脚本：

curl -fsSLo java-security-update.sh https://raw.githubusercontent.com/Carl0gonzalez/java-security-update/main/java-security-update.sh
sha256sum java-security-update.sh
bash -n java-security-update.sh
less java-security-update.sh
bash java-security-update.sh --audit
sudo bash java-security-update.sh --apply

首个发布版本对应的 SHA-256：

63bab4224c681feda4b36206ee642848ed3e653870e6b766b86142c39f818173  java-security-update.sh

行为说明

• --audit：发现 JDK/JRE 二进制文件、供应商、位置、APT 软件包及 Java 进程，不修改系统。
• --apply：查询可用版本，模拟对已安装 Java 软件包和证书的 APT 更新，显示计划并要求输入 ACTUALIZAR 以继续。
• 不会替换手动安装的 JDK，也不会刻意更改主版本（例如从 11 到 17）。
• 不会自行重启 iDempiere，但 APT 的安装后脚本可能会重启服务。请安排维护窗口。
• 不保证特定 CVE 已被缓解。 请核验 Java 厂商公告及证书存储。
• 现有的 Java 进程必须以受控方式重启，以加载更新后的 JVM。
• 与脚本一同存储的 SHA-256 仅在预期值是通过可靠方式获取的情况下才能验证完整性；控制该仓库的攻击者可能同时替换两者。

本地使用

git clone [email protected]:Carl0gonzalez/java-security-update.git
cd java-security-update
sha256sum -c java-security-update.sh.sha256
bash java-security-update.sh --audit

main 分支上的 Raw 文件可能会发生变化。在生产环境中，最好固定到已知的修订版本/提交，并通过其他渠道核验其 SHA-256。