从 Ubuntu Universe 运行软件包是否比在 Debian 上运行相同的软件包风险更大？

Question

我正在运行 Ubuntu LTS 服务器。Universe 软件包的安全补丁是否存在任何问题？我的意思是，与运行类似 Debian 服务器的替代方案相比，如果拥有 Universe 软件包，我是否有运行易受攻击系统的风险？

Answer 1

即使在 Debian 中，也有许多软件包没有定期进行安全更新。来自 OFTC IRC 上的 Debian 安全频道：

安全团队在包维护人员（和上游开发人员）的帮助下为所有包提供支持。

从一般讨论中，我们可以假设重大的安全漏洞会引起他们的注意，但显然存在严重程度的阈值。

来自 Debian 安全常见问题解答的问题“Debian 中的安全性如何处理？”：

一旦安全团队收到事件通知，一个或多个成员会对其进行审查并考虑其对 Debian 稳定版本的影响（即它是否易受攻击）。如果我们的系统易受攻击，我们会努力解决问题。如果他们还没有联系安全团队，也会联系包维护者。最后，测试修复并准备新包，然后在所有稳定架构上编译并上传。完成所有这些后，将发布咨询。

但是，需要考虑的一点是，安全团队不会精通所有软件包，并且将依赖软件包维护者和上游开发人员的支持来“修复”问题。

在 Debian 安全 IRC 频道中进一步讨论后，据说我在这里的分析很好地总结了情况：

Debian 安全团队在包维护者和上游的帮助下为所有人提供支持，但他们不会亲自修补所有内容。
-- 管家

Ubuntu 也不例外，只是社区支持“universe”。Universe 包不是由 Ubuntu 安全团队积极维护的，这些包的安全修复是由社区提供的（有一些例外，例如 nginx 包，我几乎专门为 Ubuntu 安全团队提供补丁）。虽然不能保证这些软件包有任何更新，但许多流行的软件包都会受到足够的关注，通常会有人努力尝试修补安全问题。

但是，要具体回答，您需要提供您感兴趣的软件包列表，但不要在此站点上提供，因为这将成为一个开放式无休止的问题和答案集。

但是，在本网站的范围内，不可能真正回答“易受攻击的系统”问题，因为尽管存在“保护措施”，但由于这些软件包的性质，您可以采取一些措施来缓解一些未打补丁的软件，分析您的用例和确定每件事的缓解措施也超出了本网站的范围以及在此处规定的限制范围内回答的能力。