Update initramfs astra linux

БЮЛЛЕТЕНЬ № 2022-0819SE17 (оперативное обновление 1.7.2)

Оперативное обновление 1.7.2 представляет собой кумулятивное обновление безопасности, предназначенное для нейтрализации угроз эксплуатации выявленных уязвимостей операционных систем специального назначения «Astra Linux Special Edition» РУСБ.10015-01 и РУСБ.10015-10 (очередное обновление 1.7), далее по тексту — Astra Linux.

Данное обновление содержит:

• обновления (изменения) репозитория установочного диска (основного репозитория — main);
• обновленный базовый репозиторий (base);
• обновленный расширенный репозиторий (extended);
• изменения в эксплуатационную документацию.

Данное обновление включает в себя:

Перечень уязвимостей, закрываемых обновлением, предоставляется после соответствующего обращения на портале технической поддержки.

В случае использования ядра Linux версии 5.15, в целях устранения угрозы эксплуатации уязвимости модуля ksmbd.ko , необходимо запретить загрузку данного модуля в ядро Linux – см. Запрет загрузки модуля ksmbd.ko в ядро Linux.

Оглавление

Если в системе используется программное обеспечение, разработанное с использованием средств разработки, необходимо выполнить обновление базового репозитория (base).

Базовый репозиторий (base) также содержит пакеты основного репозитория (main), размещенного на установочном диске. В связи с этим при обновлении базового репозитория будут обновлены и пакеты основного репозитория.

Общая информация

Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке выполнить проверку работоспособности на тестовых компьютерах в аналогичных используемым конфигурациях (путем установки обновления и перезагрузки).

После успешной установки обновления (в том числе, после установки обновления базового репозитория) проверка целостности программных пакетов установочного диска (основного репозитория — main) осуществляется утилитой fly-admin-int-check с применением файла gostsums.txt , расположенного в корневом каталоге образа диска обновления repository-update.iso .

В случае применения (установки) оперативного обновления необходимо указать номер применяемого бюллетеня в разделе формуляра экземпляра Astra Linux (например, в разделе «Сведения о бюллетенях») или же в паспорте средства вычислительной техники, функционирующего под управлением Astra Linux.

Порядок установки обновления

Подготовка к установке обновления

Перед установкой обновлений:

• Ознакомиться с настоящей инструкцией;
• Ознакомиться с разделом Обновление № 2022-0819SE17 (оперативное обновление 1.7.2): обнаруженные проблемы и рекомендации по устранению;
• Ознакомиться с инструкцией: fly-astra-update и astra-update — инструменты для установки обновлений.

В системах с включенным механизмом мандатного контроля целостности обновление необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности.

Если при установке системы был создан отдельный загрузочный раздел, то перед установкой обновлений необходимо определить размер свободного пространства на этом разделе. Для этого в терминале выполнить команду:

Для установки настоящего обновления требуется не менее 75 Мбайт. Если размер свободного пространства на дисковом разделе /boot недостаточен, то следует увеличить размер дискового раздела /boot (рекомендуется не менее 512 М байт ).

Установка обновления основного репозитория (main) с использованием образа диска с обновлением

Загрузка и проверка образа диска с обновлением

1. Скачать образ диска с обновлением с помощью веб-браузера по следующей ссылке:
   https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/iso/repository-update.iso
   либо выполнив команду:

проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду:

скачать усиленную квалифицированную электронную подпись ООО «РусБИТех-Астра» с помощью веб-браузера по следующей ссылке:
https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/iso/repository-update.iso.sig
либо выполнив команду:

/opt/cprocsp/bin/amd64/cryptcp -verify -detached repository-update.iso repository-update.iso.sig -f repository-update.iso.sig

В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести «y» и нажать клавишу . Сообщение вида:

Подпись проверена. [ErrorCode: 0x00000000]

Установка обновления с использованием сетевых репозиториев

Если созданы сетевые репозитории из установочного диска и образа диска с обновлением (см. Создание локальных и сетевых репозиториев) и если на обновляемой системе настроен доступ к этим сетевым репозиториям в файле /etc/apt/sources.list , то обновление может быть установлено командой:

Если доступ к репозиториям в файле /etc/apt/sources.list не настроен, то обновление может быть установлено с помощью astra-update/fly-astra-update с явным указанием сетевых репозиториев (см. описание fly-astra-update и astra-update — инструменты для установки обновлений).

Установка обновления с использованием локальной копии образа диска с обновлением

Если сетевые репозитории не используются, то обновление может быть выполнено из локальных копий образа установочного диска и образа диска с обновлением. Образы дисков могут быть сохранены как локальные файлы, или размещены на подключаемом съемном носителе. Установка обновления в таком случае может быть выполнена командой:

В приведенном примере предполагается, что образы дисков скопированы в каталог /mnt или находятся на съемном носителе, смонтированном в каталог /mnt .
Подробности также см. в описании инструментов fly-astra-update и astra-update.

Установка обновления основного репозитория (main) с использованием зафиксированной ветки интернет-репозитория Astra Linux

1. Подключить интернет-репозиторий Astra Linux, для этого:
   1. для использования сетевых репозиториев, работающих по протоколу HTTPS, установить пакеты apt-transport-https и ca-certificates командой:

   deb https://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-main/ 1.7_x86-64 main contrib non-free deb https://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-update/ 1.7_x86-64 main contrib non-free

   deb http://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-main/ 1.7_x86-64 main contrib non-free deb http://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-update/ 1.7_x86-64 main contrib non-free

   Установка обновления базового репозитория (base)

   С использованием зафиксированной ветки интернет-репозитория Astra Linux

   1. Подключить интернет-репозиторий Astra Linux, для этого:
      1. для использования сетевых репозиториев, работающих по протоколу HTTPS, установить пакеты apt-transport-https и ca-certificates командой:

      deb https://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-base/ 1.7_x86-64 main contrib non-free

      deb http://download.astralinux.ru/astra/frozen/1.7_x86-64/1.7.2/repository-base/ 1.7_x86-64 main contrib non-free

      С использованием tar-архива обновленного базового репозитория (base)

      Ссылка на tar-архив обновленного базового репозитория предоставляется в личном кабинете пользователя.

      1. Скачать tar-архив обновленного базового репозитория по ссылке, представленной в личном кабинете.
      2. Загруженный tar-архив поместить в каталог /mnt на обновляемой системе и выполнить проверку. Возможные варианты проверки:
      3. проверка соответствия контрольной сумме, подсчитанной по стандарту ГОСТ Р 34.11-2012 и представленной ниже. Для получения контрольной суммы выполнить команду:
      1. скачать усиленную квалифицированную электронную подпись ООО «РусБИТех-Астра» по ссылке, представленной в личном кабинете,
      2. загруженный файл электронной подписи поместить в каталог /mnt на обновляемой системе,
      3. перейти в каталог /mnt и выполнить проверку, указав в качестве хранилища сертификатов саму подпись (ключ -f ):

      /opt/cprocsp/bin/amd64/cryptcp -verify -detached base-1.7.2-11.08.2022_15.28.tgz base-1.7.2-11.08.2022_15.28.tgz.sig -f base-1.7.2-11.08.2022_15.28.tgz.sig

      В процессе проверки будет дважды запрошено подтверждение, для продолжения проверки ввести «y» и нажать клавишу . Сообщение вида:

      Подпись проверена. [ErrorCode: 0x00000000]

      sudo mkdir /srv/base-repository sudo tar zxvf base-1.7.2-11.08.2022_15.28.tgz -C /srv/base-repository/

      Если предполагается устанавливать обновление на компьютеры не используя сетевой репозиторий, то распаковать архив можно сразу на съемный носитель, и далее установку выполнять с этого носителя.

      deb file:/srv/base-repository/ 1.7_x86-64 main contrib non-free

      deb cdrom:[]/ 1.7_x86-64 contrib main non-free

      Завершение установки обновления

      После выполнения обновления перезагрузить систему.

      Запрет загрузки модуля ksmbd.ko в ядро Linux

      В случае использования ядра Linux версии 5.15, в целях устранения угрозы эксплуатации уязвимости модуля ksmbd.ko , необходимо запретить загрузку данного модуля в ядро Linux. Для этого необходимо выполнить действия описанные ниже.

      1. Используя полномочиями администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл
         /etc/modprobe.d/blacklist.local.conf (если такого файла нет — создать его).
      2. Добавить в файл строку, содержащую ключевое слово install , название блокируемого модуля и shell-комманду:

      Действия после установки обновления

      Описанные ниже действия не обязательны и выполняются по необходимости.

      Добавление корневого сертификата удостоверяющего центра Минцифры России

      Добавление корневого сертификата необходимо выполнить после установки пакета ca-certificates-local и для каждого пользователя.

      Добавление корневого сертификата в Firefox

      1. Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Firefox.
      2. В адресную строку ввести » about:preferences » и нажать клавишу .
      3. На открывшейся странице в левом поле выбрать пункт Приватность и защита и в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов].
      4. В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [Импортировать. ].
      5. В открывшемся окне импорта выбрать файл /etc/ssl/certs/rootca_MinDDC_rsa2022.pem и нажать на кнопку [Открыть].
      6. В открывшемся окне Загрузка сертификата установить флаг Доверять при идентификации веб-сайтов и нажать на кнопку [ОК].
      7. В окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [ОК].

      Чтобы проверить наличие сертификата удостоверяющего центра Минцифры России, необходимо снова в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов]. В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и удостовериться в наличии строк:

      The Ministry of Digital Development and Communications Russian Trusted Root CA

      Добавление корневого сертификата в Chromium

      1. Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Chromium.
      2. В адресную строку ввести » chrome://settings/certificates » и нажать клавишу .
      3. На открывшейся странице Настроить сертификаты в правом поле открыть вкладку Центры сертификации и нажать на кнопку [Импорт].
      4. В открывшемся окне импорта выбрать файл /etc/ssl/certs/rootca_MinDDC_rsa2022.pem и нажать на кнопку [Открыть].
      5. В открывшемся окне настройки доверия установить флаг Доверять этому сертификату при идентификации сайтов и нажать на кнопку [ОК].

      После успешного добавления корневого сертификата на странице Настроить сертификаты во вкладке Центры сертификации появятся следующие строки:
      

      org-The Ministry of Digital Development and Communications Russian Trusted Root CA

      Установка программы «Центр уведомлений»

      Начиная с оперативного обновления 1.7.1 в Astra Linux добавлена программа «Центр уведомлений» (пакет fly-notifications), реализующая вывод сообщений для пользователя на рабочем столе.

      Для установки программы «Центр уведомлений» необходимо выполнить команду:

      Источник