Sicherheit von Anwendungen

Betrifft OS:

Um installierte Pakete auf bekannte Sicherheitslücken zu untersuchen gibt es für die FreeBSD-Ports das Programm portaudit und für PkgSrc das Programm audit-packages

portaudit findet man in den FreeBSD-Ports unter ports-mgmt/portaudit. Eine portaudit-Aufruf ohne Parameter listet alle installierten Pakete, für die Schwachstellen bekannt sind, das sieht dann z.B. so aus:

# portaudit
Affected package: cups-base-1.2.10
Type of problem: cups -- Incomplete SSL Negotiation Denial of Service.
Reference: <http://www.FreeBSD.org/ports/portaudit/39988ee8-1918-11dc-b6bd-0016179b2dd5.html>

1 problem(s) in your installed packages found.

You are advised to update or deinstall the affected package(s) immediately.

Um die Verwundtbarkeitsdatenbank auf den neusten Stand zu bringen, reicht folgender Aufruf:

# portaudit -F

Portaudit integriert sich auch in das Ports-System, so dass Ports für die Sicherheitslücken bekannt sind nicht mehr installiert werden. Soll ein Port aus irgendeinem Grund dann trotzdem installiert werden muss die Umgebungsvariable DISABLE_VULNERABILITIES gesetzt sein.

audit-packages findet man in PkgSrc unter security/audit-packages. Das Paket liefert zwei Skripte mit. Um die die Liste der installierten Pakete mit bekannten Schwachstellen auszugeben:

# audit-packages

Um die Verwundtbarkeitsdatenbank zu aktualisieren:

# download-vulnerability-list

Eine Integration in PkgSrc (ähnlich Portaudit oben) gibt es -soweit mir bekannt- nicht.

• Man-Seiten: portaudit(1)