# Использует ли контейнер Discourse unattended-upgrades?

**URL:** <https://meta.discourse.org/t/does-discourse-container-use-unattended-upgrades/136296>\
**Category:** Self-hosting\
**Tags:** hosting\
**Created:** [17.Декабрь.2019 09:47:45 UTC](https://meta.discourse.org/t/does-discourse-container-use-unattended-upgrades/136296 "2019-12-17T09:47:45Z")\
**Posts on this page:** 1\
**Showing post:** 3

<div class="post-metadata">

**Author:** ![maltfield](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/maltfield/32/160669_2.png) [@maltfield](https://meta.discourse.org/u/maltfield)\
**Post date:** [24.Декабрь.2019 18:03:17 UTC](https://meta.discourse.org/t/does-discourse-container-use-unattended-upgrades/136296/3 "2019-12-24T18:03:17Z")

</div>

После дальнейшего расследования выяснилось, что `unattended-upgrades` **установлен, но _не_ запущен** в контейнере Docker для Discourse.

Во-первых, он явно установлен:

```plaintext
root@osestaging1-discourse-ose:/var/www/discourse# dpkg -l | grep -i unatt
ii unattended-upgrades 1.11.2 all automatic installation of security upgrades
root@osestaging1-discourse-ose:/var/www/discourse# 

```

Дальнейшая проверка конфигурации пакета `unattended-upgrades` согласно соответствующей статье в вики Debian показывает:

- [PeriodicUpdates - Debian Wiki](https://wiki.debian.org/UnattendedUpgrades)

Конфигурация по умолчанию выглядит разумной:

```plaintext
root@osestaging1-discourse-ose:/var/www/discourse# grep -ir 'origin=' /etc/apt/apt.conf.d/50unattended-upgrades 
// "origin=Debian,codename=${distro_codename}-updates";
// "origin=Debian,codename=${distro_codename}-proposed-updates";
		"origin=Debian,codename=${distro_codename},label=Debian";
		"origin=Debian,codename=${distro_codename},label=Debian-Security";
root@osestaging1-discourse-ose:/var/www/discourse# cat /etc/apt/apt.conf.d/20auto-upgrades 
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
root@osestaging1-discourse-ose:/var/www/discourse# 

```

Однако проверка логов показывает, что последняя запись была месяц назад:

```plaintext
root@osestaging1-discourse-ose:/var/www/discourse# tail -f /var/log/unattended-upgrades/unattended-upgrades*.log
==> /var/log/unattended-upgrades/unattended-upgrades-dpkg.log <==
Log started: 2019-11-17 12:34:54
(Reading database ... 44559 files and directories currently installed.)
Removing freetype2-doc (2.9.1-3+deb10u1) ...
Log ended: 2019-11-17 12:34:54

Log started: 2019-11-17 12:34:56
(Reading database ... 44389 files and directories currently installed.)
Removing libjs-jquery (3.3.1~dfsg-3) ...
Log ended: 2019-11-17 12:34:57

==> /var/log/unattended-upgrades/unattended-upgrades.log <==
2019-11-26 16:37:47,549 INFO Initial blacklist : 
2019-11-26 16:37:47,550 INFO Initial whitelist: 
2019-11-26 16:37:47,551 INFO Starting unattended upgrades script
2019-11-26 16:37:47,552 INFO Allowed origins are: origin=Debian,codename=buster,label=Debian, origin=Debian,codename=buster,label=Debian-Security
2019-11-26 16:37:50,811 INFO Checking if system is running on battery is skipped. Please install powermgmt-base package to check power status and skip installing updates when the system is running on battery.
2019-11-26 16:37:50,814 INFO Initial blacklist : 
2019-11-26 16:37:50,815 INFO Initial whitelist: 
2019-11-26 16:37:50,815 INFO Starting unattended upgrades script
2019-11-26 16:37:50,815 INFO Allowed origins are: origin=Debian,codename=buster,label=Debian, origin=Debian,codename=buster,label=Debian-Security
2019-11-26 16:37:53,119 INFO No packages found that can be upgraded unattended and no pending auto-removals
^C
root@osestaging1-discourse-ose:/var/www/discourse# 

```

…Хотя таймеры systemd по умолчанию, определенные для `unattended-upgrades`, настроены на запуск как минимум раз в день:

```plaintext
root@osestaging1-discourse-ose:/var/www/discourse# cat /lib/systemd/system/apt-daily.timer
[Unit]
Description=Daily apt download activities

[Timer]
OnCalendar=*-*-* 6,18:00
RandomizedDelaySec=12h
Persistent=true

[Install]
WantedBy=timers.target
root@osestaging1-discourse-ose:/var/www/discourse# cat /etc/systemd/system/apt-daily.timer.d/override.conf
cat: /etc/systemd/system/apt-daily.timer.d/override.conf: No such file or directory
root@osestaging1-discourse-ose:/var/www/discourse# cat /lib/systemd/system/apt-daily-upgrade.timer
[Unit]
Description=Daily apt upgrade and clean activities
After=apt-daily.timer

[Timer]
OnCalendar=*-*-* 6:00
RandomizedDelaySec=60m
Persistent=true

[Install]
WantedBy=timers.target
root@osestaging1-discourse-ose:/var/www/discourse# cat /etc/systemd/system/apt-daily-upgrade.timer.d/override.conf
cat: /etc/systemd/system/apt-daily-upgrade.timer.d/override.conf: No such file or directory
root@osestaging1-discourse-ose:/var/www/discourse# 

```

Но, действительно, эти таймеры отключены.

```plaintext
root@osestaging1-discourse-ose:/var/www/discourse# sudo systemctl status apt-daily.timer
System has not been booted with systemd as init system (PID 1). Can't operate.
Failed to connect to bus: Host is down
root@osestaging1-discourse-ose:/var/www/discourse# sudo systemctl status apt-daily-upgrade.timer
System has not been booted with systemd as init system (PID 1). Can't operate.
Failed to connect to bus: Host is down
root@osestaging1-discourse-ose:/var/www/discourse# 

```

Это дополнительно подтверждается ручным запуском `unattended-upgrades`, который как раз потребовал обновления двух пакетов, связанных с git:

```plaintext
root@osestaging1-discourse-ose:/var/www/discourse# sudo unattended-upgrade -d
...
Checking: git ([<Origin component:'main' archive:'stable' origin:'Debian' label:'Debian-Security' site:'security.debian.org' isTrusted:True>])
Checking: git-man ([<Origin component:'main' archive:'stable' origin:'Debian' label:'Debian-Security' site:'security.debian.org' isTrusted:True>])
pkgs that look like they should be upgraded: git   
git-man
...
All upgrades installed
InstCount=0 DelCount=0 BrokenCount=0
Extracting content from /var/log/unattended-upgrades/unattended-upgrades-dpkg.log since 2019-12-24 17:32:55
root@osestaging1-discourse-ose:/var/www/discourse# 

```

Версия git, обновленная в вышеуказанном запуске `unattended-upgrades`, была `git (1:2.20.1-2+deb10u1)`. Я провел этот тест сегодня (24 декабря 2019 года), но обновление безопасности было доступно для Debian Buster (ОС, на которой собран образ Docker для Discourse) уже две недели (с 10 декабря 2019 года)!

На самом деле это довольно серьезное обновление, которое устраняет несколько уязвимостей, включая два вектора удаленного выполнения кода. Дополнительная информация доступна в совете по безопасности Debian 4581-1:

- [I Challenge Thee](https://www.debian.org/security/2019/dsa-4581)

Но git — это просто пример, на который я случайно наткнулся. Крайне тревожно, если контейнер Docker для Discourse по умолчанию не применяет патчи безопасности к своей ОС.

Это ошибка? Или это было сознательное решение команды Discourse? Или это просто стандартная практика в ожидании запроса на добавление функции включения `unattended-upgrades` в контейнер Docker для Discourse?

---

_[View the full topic](https://meta.discourse.org/t/does-discourse-container-use-unattended-upgrades/136296)._