Rocky Linux a mis en place un référentiel pour une correction rapide des vulnérabilités.

Les développeurs de la distribution Rocky Linux ont annoncé la création d'un dépôt distinct pour la publication d'urgence des mises à jour des paquets corrigés, non synchronisées avec les dépôts de Red Hat Enterprise Linux. Il est à noter que le projet Rocky Linux respecte le principe de conformité maximale avec la base de paquets RHEL, tout en étant contraint de faire des exceptions face aux menaces de sécurité récentes.

Le dépôt « security » publiera uniquement des mises à jour d'urgence, formulées lorsqu'une divulgation non préalable d'informations sur des vulnérabilités critiques a lieu et qu'un exploit fonctionnel existe, mais que les développeurs de RHEL n'ont pas eu le temps de créer des mises à jour avec des correctifs. Une telle situation a été observée avec les vulnérabilités Copy Fail, Dirty Frag et Fragnesia.

Grâce au dépôt « security », le projet Rocky Linux pourra publier rapidement des mises à jour de manière autonome, sans attendre que cela soit fait par Red Hat. Après la sortie d'un correctif de RHEL, le paquet publié pour RHEL remplacera le paquet avec le correctif de Rocky Linux. Par défaut, le dépôt « security » est désactivé et nécessite l'exécution de la commande « sudo dnf —enablerepo=security update » pour être activé.

Dans le même temps, la distribution Alma Linux a publié des mises à jour de paquets pour corriger rapidement les vulnérabilités ssh-keysign-pwn, NGINX Rift, Fragnesia, Dirty Frag et Copy Fail, sans attendre RHEL. Au début, les paquets étaient placés dans le dépôt de test « almalinux-testing », puis transférés dans le dépôt principal.

Source : opennet.ru