安全更新对应用程序的影响？

Question

我希望我的服务器unattended-upgrades定期运行并保持我的服务器自动更新并仅安装安全更新。

但是我不想更新几个包的主要版本。

例如：
我希望我的服务器运行 PHP 5.4 我可以进行较小的更新，例如：

• 5.4.30 到 5.4.37 或 5.4.xx 到 5.4.yy

但我不想更改主要版本更新，例如：

• 5.4.48 到 5.5.1 或 5.xa 到 5.ya

这可以做到unattended-upgrades吗？

现在我所做的是将 PHP5-* 排除在无人值守升级的自动更新之外。有一个更好的方法吗？

或者 Ubuntu 安全更新是否有标准，比如它们不升级应用程序的主版本，例如 5.4.48 到 5.5.1 或 5.xa 到 5.ya 等

Answer 1

我发现Ubuntu 论坛上的这篇文章有些帮助。认为值得分享：

您的系统不够智能，无法知道特定更新是否包含新功能、错误修复或安全补丁。它只知道软件的存储库。令人高兴的是，您可以根据存储库来判断（和过滤）。

如果上游项目发布了 CVE 的安全补丁，Ubuntu 安全团队会将其应用于当前版本，并进入存储库*-security。

*-security不包括更新。仅 CVE 补丁。上游版本号没有改变，Debian或Ubuntu版本号确实改变：Foo 1.2.3-1ubuntu2 变成 Foo 1.2.3-1ubuntu3

您可以在Ubuntu 的软件和更新控制面板中轻松启用*-security存储库的自动更新。/etc/apt/apt.conf.d/50unattended-upgrades

另外：如果您启用*-updates存储库，那么您将获得您不介意的那些细微改进。但是系统无法确定更新是否对您来说太大了……它不是通灵的……所以也许您应该禁用该存储库。

最后：当发现一个著名的漏洞时，一些用户会感到困惑，上游项目似乎建议升级到最新版本来修复它。关注 security.ubuntu.com 上的 CVE 编号，而不是跟随炒作。