Comment puis-je installer uniquement les mises à jour de sécurité à partir de la ligne de commande?

sudo apt-get upgradeinstalle toutes les mises à jour, pas seulement les mises à jour de sécurité. Je sais que je peux utiliser Update Manager pour sélectionner uniquement les mises à jour de sécurité importantes, mais existe-t-il un moyen de le faire à partir de la ligne de commande?

Le paquet Unattended-upgrades fournit une fonctionnalité pour installer automatiquement les mises à jour de sécurité.

Vous pouvez l'utiliser, mais au lieu de configurer la pièce automatique, vous pouvez l'appeler manuellement:

sudo unattended-upgrade -d --dry-run
sudo unattended-upgrade -d

Si vous voulez le faire tranquillement à la place:

sudo unattended-upgrade

REMARQUE: lorsque vous appelez unattended-upgrade, vous laissez le "s" de côté.

Cela suppose que le paquet est installé par défaut, ce qui est probablement le cas. Si non, il suffit de faire:

sudo apt-get install unattended-upgrades

Voir aussi /usr/share/doc/unattended-upgrades/README.md.

Quelques conseils sur la gestion des mises à jour

Ceci s'applique à la fois à Debian et à Ubuntu, mais des instructions plus spécifiques pour Ubuntu suivent.

• Afficher les mises à jour de sécurité uniquement:

  apt-get -s dist-upgrade |grep "^Inst" |grep -i securi 
  

  ou

  sudo unattended-upgrade --dry-run -d
  

  ou

  /usr/lib/update-notifier/apt-check -p
  

• Afficher tous les packages pouvant être mis à jour

  apt-get -s dist-upgrade | grep "^Inst"
  

• Installer les mises à jour de sécurité uniquement

  apt-get -s dist-upgrade | grep "^Inst" | 
      grep -i securi | awk -F " " {'print $2'} | 
      xargs apt-get install
  

Remarques:

• Parfois, Ubuntu affiche les mises à jour de sécurité comme si elles provenaient du référentiel $ release-updates. C'est vrai, me dit-on, car les développeurs Ubuntu transfèrent également les mises à jour de sécurité dans le référentiel $ release-updates pour accélérer leur disponibilité.

  Si tel est le cas, vous pouvez procéder comme suit pour afficher uniquement les mises à jour de sécurité:

  sudo sh -c 'grep ^deb /etc/apt/sources.list | 
      grep security > /etc/apt/sources.security.only.list'
  

  et

  apt-get -s dist-upgrade -o Dir::Etc::SourceList=/etc/apt/sources.security.only.list -o Dir::Etc::SourceParts=/dev/null  | 
      grep "^Inst" | awk -F " " {'print $2'}
  

• Vérifiez quels services doivent être redémarrés après les mises à niveau du paquet. Déterminez quels packages vous allez mettre à niveau au préalable et planifiez vos redémarrages / redémarrages. Le problème ici est que si vous ne redémarrez pas un service, il se peut que votre ancienne version d'une bibliothèque (raison la plus courante) ait été chargée en mémoire avant l'installation du nouveau package qui corrige une faille de sécurité.

  checkrestart -v
  

  Cependant, gardez à l’esprit que des checkrestartprocessus peuvent ne pas nécessairement être redémarrés. Par exemple, le service PostgreSQL peut conserver dans sa mémoire une référence à un fichier xlog déjà supprimé, ce qui n’est pas une raison valable pour redémarrer le service.

  Par conséquent, un autre moyen, plus fiable, de vérifier cela à l’aide d’utils standard est le petit script bash suivant que j’ai volé sans vergogne à https://locallost.net/?p=233

  Il vérifie si les processus en cours sur un système utilisent toujours des bibliothèques supprimées en conservant des copies de celles-ci en mémoire active.

  ps xh -o pid |
  while read PROCID; do
         grep 'so.* (deleted)$' /proc/$PROCID/maps 2> /dev/null
         if [ $? -eq 0 ]; then
                 CMDLINE=$(sed -e 's/\x00/ /g' < /proc/$PROCID/cmdline)
                 echo -e "\tPID $PROCID $CMDLINE\n"
         fi
  done
  

remplacer /etc/apt/preferencespar ce qui suit:

Package: *
Pin: release a=lucid-security
Pin-Priority: 500

Package: *
Pin: release o=Ubuntu
Pin-Priority: 50

Désormais, un simple apt-get upgrademettra à niveau uniquement toutes les mises à jour de sécurité.

Pourquoi (et comment) cela fonctionne: Le fichier de préférences épingle tous les paquets de la distribution Ubuntu sur la priorité 50, ce qui les rend moins souhaitables que les paquets déjà installés. Les fichiers provenant du référentiel de sécurité ont la priorité par défaut (500), de sorte qu'ils sont pris en compte pour l'installation. Cela signifie que seuls les packages considérés comme plus souhaitables que ceux actuellement installés sont des mises à jour de sécurité. Plus d'informations sur l'épinglage dans la page de manuel apt_preferences .

Vous pouvez promouvoir temporairement une certaine distribution pour les mises à jour avec l' --target-releaseoption qui fonctionne avec apt-getet aptitude(au moins), ce qui vous permettra d'épingler certaines versions afin qu'elles soient éligibles pour la mise à niveau.

Si vous souhaitez utiliser ceci uniquement pour les scripts et ne pas le configurer par défaut pour le système, vous pouvez placer les règles dans un autre emplacement et utiliser ceci à la place:

apt-get -o Dir::Etc::Preferences=/path/to/preferences_file upgrade

Cela permettra à apt de rechercher le fichier de préférences à partir d’un emplacement autre que celui par défaut.

Le fichier de préférences donné à titre d'exemple ne s'applique pas aux référentiels tiers. Si vous souhaitez également les épingler, vous pouvez les utiliser apt-cache policypour déterminer facilement les clés requises pour l'épinglage.

Ce qui suit est confirmé dans Ubuntu 14.04 LTS.

Utilisez le unattended-upgradepaquet.

Regarde le fichier /etc/apt/apt.conf.d/50unattended-upgrades. Il devrait y avoir une section en haut qui est:

// Automatically upgrade packages from these (origin:archive) pairs
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
//  "${distro_id}:${distro_codename}-updates";
//  "${distro_id}:${distro_codename}-proposed";
//  "${distro_id}:${distro_codename}-backports";
};

Notez comment il a été configuré pour autoriser uniquement les mises à niveau sans surveillance pour les packages de sécurité, par défaut.

Modifier le fichier /etc/apt/apt.conf.d/10periodicsimilaire à:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";

Cela exécutera des mises à jour de sécurité automatiques sans surveillance, une fois par jour.

Maintenant, pour exécuter manuellement: sudo unattended-upgrade.

Pour tester une marche à sec, sans faire quoi que ce soit: sudo unattended-upgrade --dry-run.

Source: https://help.ubuntu.com/14.04/serverguide/automatic-updates.html

Bien que ce soit plutôt moche, vous pouvez désactiver tous les référentiels sauf le référentiel de sécurité, puis procédez comme suit:

sudo apt-get update && sudo apt-get upgrade

Je ne l'ai pas testé, mais en théorie, il ne trouverait que les mises à jour dans le référentiel de sécurité et les appliquerait ...

• apt-get update: il suffit de lire les entrées dans le référentiel - selon la liste existante. Nécessaire pour vérifier ce qui est nouveau.
• apt-get upgrade: toutes les mises à jour pour les paquets installés sans modules du noyau. Aucune mise à jour de version.
• apt-get dist-upgrade: toutes les mises à jour pour les packages installés, y compris avec les modules du noyau. Aucune mise à jour de version.
• apt-getavec paramètre -s: test seulement, aucun changement effectué.

Sur Debians, j'utilise cette commande pour ne faire que des mises à jour de sécurité:

apt-get install -y --only-upgrade $( apt-get --just-print upgrade | awk 'tolower($4) ~ /.*security.*/ || tolower($5) ~ /.*security.*/ {print $2}' | sort | uniq )

Je ne trouve pas d'option dans apt-get ou aptitude, mais quelqu'un a posé la même question sur SuperUser. La seule réponse est:

Check and adjust /etc/apt/apt.conf.d/50unattended-upgrade. 
Did you replace 'karmic' with the code name of your Ubuntu?

Aucune réponse quant à savoir si cela a fonctionné cependant.

Voici un script qui réalise cela de différentes manières:

#!/usr/bin/env bash
set -e

# List upgradable packages
apt-get update
apt list --upgradable 2>/dev/null
# List security upgrades
test "$(apt-get upgrade -s -y)" && (apt-get upgrade -s -y)
# List upgradable apt packages then upgrade
apt-get update && apt-get upgrade -y  -V | grep '=>' | awk '{print$1}' && test "$(apt-get upgrade -y)"