如何仅从命令行安装安全更新？

#1 楼

软件包无人值守升级提供了自动安装安全更新的功能。

您可以使用此功能，但是除了配置自动部件外，还可以手动调用它：

 sudo unattended-upgrade -d --dry-run
sudo unattended-upgrade -d # Idem --debug
 

如果要安静地运行它，请执行以下操作：

sudo unattended-upgrade

注意：当您调用无人值守升级时，请在结尾处保留“ s”（在较新版本中，有一个符号链接可以避免这种情况）。是。如果不是，请执行以下操作：

sudo apt install unattended-upgrades

另请参阅/usr/share/doc/unattended-upgrades/README.md。

#2 楼

有关如何管理更新的一些提示

这对Debian和Ubuntu都适用，但是有关Ubuntu的更具体的说明如下。



显示安全性仅更新：

apt-get -s dist-upgrade |grep "^Inst" |grep -i securi 

或

sudo unattended-upgrade --dry-run -d

或

/usr/lib/update-notifier/apt-check -p

显示所有可升级的软件包

apt-get -s dist-upgrade | grep "^Inst"

仅安装安全更新

apt-get -s dist-upgrade | grep "^Inst" | 
    grep -i securi | awk -F " " {'print '} | 
    xargs apt-get install

注意：



有时，Ubuntu会显示安全更新，就像它们来自$ release-updates存储库一样。我被告知是这样，因为Ubuntu开发人员还将安全更新也推送到$ release-updates存储库中，以加快其可用性。

如果是这样，您可以执行以下操作以显示安全更新。仅：

sudo sh -c 'grep ^deb /etc/apt/sources.list | 
    grep security > /etc/apt/sources.security.only.list'

和

apt-get -s dist-upgrade -o Dir::Etc::SourceList=/etc/apt/sources.security.only.list -o Dir::Etc::SourceParts=/dev/null  | 
    grep "^Inst" | awk -F " " {'print '}

检查打包后需要重新启动哪些服务升级。弄清楚要升级的软件包，并计划重新启动/重新引导。这里的问题是，除非重新启动服务，否则它可能仍会使用旧版本的库（最常见的原因），该库已在安装新的可修复安全漏洞的软件包之前加载到内存中。

checkrestart -v

但是，请记住，checkrestart可能列出了不必重新启动的进程。例如，PostgreSQL服务可能会在内存中保留对已删除的xlog文件的引用，这不是重新启动该服务的有效理由。因此，另一种更可靠的方式来检查此以下标准bash脚本是使用标准utils我从https://locallost.net/?p=233

不知不觉中偷走的以下bash脚本，它通过以下方法检查系统上正在运行的进程是否仍在使用已删除的库将这些副本保存在活动内存中。

ps xh -o pid |
while read PROCID; do
       grep 'so.* (deleted)$' /proc/$PROCID/maps 2> /dev/null
       if [ $? -eq 0 ]; then
               CMDLINE=$(sed -e 's/\x00/ /g' < /proc/$PROCID/cmdline)
               echo -e "\tPID $PROCID $CMDLINE\n"
       fi
done

#3 楼

用以下内容替换/etc/apt/preferences：

Package: *
Pin: release a=lucid-security
Pin-Priority: 500

Package: *
Pin: release o=Ubuntu
Pin-Priority: 50

现在，简单的apt-get upgrade将仅升级所有安全更新。首选项文件会将Ubuntu发行版中的所有软件包固定为优先级50，这将使它们比已安装的软件包不那么受欢迎。来自安全存储库的文件被赋予默认（500）优先级，因此可以考虑将其安装。这意味着只有被认为比当前安装的软件包更受欢迎的软件包才是安全更新。有关固定在apt_preferences手册页中的更多信息。

您可以使用与--target-release和apt-get（至少）一起使用的aptitude选项临时促进更新的特定发行版，这将允许您固定某些发行版，以便它们可以升级。

如果仅希望将其用于脚本而不是将其设置为系统的默认值，则可以将规则放在其他位置并改为使用：

apt-get -o Dir::Etc::Preferences=/path/to/preferences_file upgrade

这将易于从非默认位置查找首选项文件。

作为示例给出的首选项文件不适用于第三个第三方存储库，如果您也想固定它们，则可以使用apt-cache policy轻松确定所需的固定密钥。

#4 楼

在Ubuntu 14.04 LTS中已确认以下内容。

使用unattended-upgrade软件包。

查看文件/etc/apt/apt.conf.d/50unattended-upgrades。在顶部应该有一个部分：

// Automatically upgrade packages from these (origin:archive) pairs
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
//  "${distro_id}:${distro_codename}-updates";
//  "${distro_id}:${distro_codename}-proposed";
//  "${distro_id}:${distro_codename}-backports";
};

请注意，默认情况下如何将其配置为仅允许无人参与的安全软件包升级。

修改文件/etc/apt/apt.conf.d/10periodic类似于：

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";

，它将每天自动运行一次自动无人值守安全升级。

现在，手动运行：sudo unattended-upgrade。

以空运行方式进行测试，无需执行任何操作：sudo unattended-upgrade --dry-run。

来源：https://help.ubuntu.com/14.04/ serverguide / automatic-updates.html

#5 楼

尽管它很丑陋，但是您可以禁用除安全性存储库之外的所有存储库，然后执行以下操作：

sudo apt-get update && sudo apt-get upgrade

我还没有对其进行测试，但是从理论上讲它只会在安全存储库中找到更新并将其应用...

#6 楼

apt-get update：
仅读取存储库中的条目-根据现有列表。需要检查有什么新功能。

apt-get upgrade：不带内核模块的已安装软件包的所有更新。没有版本更新。

apt-get dist-upgrade：包含内核模块的已安装软件包的所有更新。没有版本更新。

参数为apt-get的-s：仅测试，不做任何更改。

#7 楼

在Debian上，我使用此命令仅执行安全更新：

apt-get install -y --only-upgrade $( apt-get --just-print upgrade | awk 'tolower() ~ /.*security.*/ || tolower() ~ /.*security.*/ {print }' | sort | uniq )

#8 楼

这是一个以几种不同方式实现此目的的脚本：

 #!/usr/bin/env bash
set -e

# List upgradable packages
apt-get update
apt list --upgradable 2>/dev/null
# List security upgrades
test "$(apt-get upgrade -s -y)" && (apt-get upgrade -s -y)
# List upgradable apt packages then upgrade
apt-get update && apt-get upgrade -y  -V | grep '=>' | awk '{print}' && test "$(apt-get upgrade -y)"
 

#9 楼

如果您只希望安装安全更新，则以下内容将起作用。首先，它列出了所有可升级的软件包，仅过滤出来自安全性仓库的软件包，在第一个字段中剪切返回的字符串，然后将它们传递到apt-get install进行软件包更新。

sudo apt list --upgradable | grep security |cut -d\/ -f1|xargs sudo apt-get install -y

#10 楼

我在apt-get或aptitude中都找不到选项，但是有人在SuperUser上有相同的问题。唯一的响应是：