Ubuntu: tingkatkan paket tertentu atau pembaruan keamanan

Untuk menyegarkan hanya paket-paket tertentu yang terpasang di Ubuntu, gunakan apt install --only-upgrade PACKAGE. Untuk memilih pembaruan keamanan, periksa sumber yang diizinkan di unattended-upgrades, simulasikan peningkatan, lalu terapkan. Tergantung pada dependensi atau pengaturan paket yang dipilih, paket lain mungkin juga ikut berubah.

Hal-hal yang perlu diperiksa sebelum memperbarui

apt update mengambil daftar paket dari repositori tetapi tidak memperbarui paket yang terpasang. Instalasi dan pembaruan adalah tugas yang terpisah. Sebelum menerapkan pembaruan, periksa metode cadangan dan pemulihan, ruang disk, serta potensi gangguan layanan, dan jadwalkan waktu operasi pada server produksi.

sudo apt update
apt list --upgradable

Jika perintah pertama gagal, selesaikan kesalahan repositori dan jaringan, lalu segarkan daftar lagi. Perintah kedua menunjukkan paket yang saat ini dapat diperbarui, tetapi ini tidak berarti semua item dalam daftar adalah pembaruan keamanan.

Memperbarui Paket Tertentu

Perintah di bawah menggunakan curl sebagai contoh, dengan asumsi paket ini sudah terpasang. Ganti dengan nama sebenarnya dari paket yang terpasang yang ingin Anda perbarui. Pertama, periksa versi kandidat, sumber, dan perubahan yang diharapkan oleh APT.

apt-cache policy curl
sudo apt-get -s install --only-upgrade curl

-s adalah simulasi yang tidak melakukan instalasi. --only-upgrade tidak akan memasang paket yang ditentukan jika belum terpasang. Namun, ini dapat menyarankan untuk memasang, memperbarui, atau menghapus paket lain yang dibutuhkan untuk pembaruan paket target, jadi tinjau seluruh hasilnya. Versi yang diinginkan mungkin tidak dipilih tergantung pada paket yang ditahan, dependensi, dan prioritas repositori.

Jika perubahan yang diharapkan sesuai, terapkan dengan perintah berikut. Konfirmasikan kembali daftar instalasi, peningkatan, penghapusan, dan persyaratan ruang yang disarankan oleh APT, dan jika berbeda dari yang Anda harapkan, hentikan pada langkah konfirmasi.

sudo apt install --only-upgrade curl

Setelah selesai, periksa versi yang terpasang dengan apt-cache policy curl dan pastikan bahwa layanan atau aplikasi terkait beroperasi dengan benar. Tergantung pada paket, mungkin diperlukan restart layanan atau reboot sistem.

Periksa sumber yang diizinkan untuk pembaruan keamanan

Berbeda dengan namanya, unattended-upgrade tidak selalu hanya memilih pembaruan keamanan. Tergantung pada sumber yang diizinkan yang dikonfigurasi, pembaruan lain juga dapat diinstal. Pertama, periksa apakah paket sudah diinstal dan pengaturan APT saat ini.

dpkg-query -W unattended-upgrades
apt-config dump | grep -E 'Unattended-Upgrade::(Allowed-Origins|Origins-Pattern|Automatic-Reboot|Remove-)'
apt-cache policy

Jika belum diinstal, dapat diinstal dengan sudo apt install unattended-upgrades. Setelah instalasi, jadwal pembaruan otomatis mungkin menjadi aktif, jadi periksa kebijakan server dan pengaturan /etc/apt/apt.conf.d/20auto-upgrades yang ada. Bandingkan informasi repositori apt-cache policy dengan daftar yang diizinkan, dan juga verifikasi pengaturan untuk reboot otomatis atau penghapusan paket yang tidak perlu. Daftar tersebut mungkin menggabungkan nilai dari beberapa file konfigurasi.

Jika sumber di luar lingkup keamanan, seperti -updates atau repositori eksternal, diizinkan, Anda harus menyesuaikan pengaturan sesuai kebijakan organisasi sebelum menjalankan perintah di bawah ini. Repositori keamanan ESM Ubuntu Pro dan repositori eksternal mungkin merupakan sumber yang terpisah, jadi periksa lingkup dukungan dan sumber untuk memastikan patch keamanan yang diperlukan tidak terlewat. Anda dapat memeriksa sumber default dan pengaturan reboot dalam dokumen pembaruan otomatis Ubuntu.

Contoh yang hanya mengizinkan repositori keamanan Ubuntu umum

Berikut adalah contoh konfigurasi yang hanya memungkinkan repositori keamanan standar Ubuntu. Ini tidak mencakup ESM atau repositori eksternal, jadi jangan diterapkan secara langsung di lingkungan yang memerlukan pembaruan tersebut. Karena ini adalah pengaturan yang persisten dan juga memengaruhi pembaruan otomatis, catat kebijakan yang ada dan pastikan tidak bertentangan dengan alat manajemen konfigurasi lain sebelum melanjutkan.

Di /etc/apt/apt.conf.d/, buat file baru bernama 99local-security-only tanpa menimpa file yang sudah ada, dan simpan konten berikut. Daftar APT mempertahankan entri yang ada ketika yang baru hanya ditambahkan, jadi pertama kosongkan kedua daftar. #clear adalah direktif konfigurasi APT, bukan prompt shell.

#clear Unattended-Upgrade::Allowed-Origins;
#clear Unattended-Upgrade::Origins-Pattern;
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
};

File lain mungkin akan menambahkan sumber lagi nanti, jadi setelah menyimpan, periksa sumber yang sebenarnya diizinkan menggunakan apt-config dump di atas dan hasil dry run. Repositori keamanan harus aktif, dan jika ketergantungan yang diperlukan tidak dapat diperoleh dari sumber yang diizinkan, beberapa paket mungkin tetap tertunda. Untuk mengembalikan konfigurasi ini, cukup hapus file yang dibuat oleh operasi ini dan periksa konfigurasi serta hasil dry run lagi.

Dry run dan verifikasi setelah penerapan

Perintah berikut digunakan untuk memeriksa sumber yang diizinkan dan paket yang akan diproses tanpa benar-benar menginstal pembaruan. Tinjau output dan log untuk sumber yang tidak terduga, item yang tertunda, dan kesalahan.

sudo unattended-upgrade --dry-run --debug

Eksekusi simulasi tidak menjamin hasil dari pekerjaan nyata. Tinjau sumber dan target, kebijakan reboot/penghapusan otomatis, dan jalankan perintah berikut hanya selama jendela pemeliharaan yang sesuai.

sudo unattended-upgrade --verbose

Setelah selesai, periksa log di /var/log/unattended-upgrades/ dan status layanan yang terpengaruh, dan jika perlu, lakukan reboot pada waktu yang direncanakan. Mengomentari repositori di sources.list dapat mengabaikan file sumber dan dependensi lainnya, sehingga metode ini tidak digunakan di sini. Untuk opsi dan jalur log, lihat Panduan unattended-upgrade Ubuntu.