Prüfen, ob ein Sicherheitspatch wirklich eingespielt wurde: installierte Versionen mit Herstellerhinweisen über mehrere Betriebssystemfamilien abgleichen

Worum es geht

Jede Betriebssystemfamilie veröffentlicht Advisories, die eine bestimmte CVE einem bestimmten behobenen Paket oder Build zuordnen: Ubuntus USN-nummerierte Hinweise (aufgelistet unter ubuntu.com/security/notices), Advisories der Red-Hat-Familie wie RHSAs (auf einem installierten System abfragbar mit dnf updateinfo list --security; der Filter --security "includes packages that provide a fix for a security issue"), Debian-DSAs (lokal gegenprüfbar mit debsecan, das "analyzes the list of installed packages on the current host and reports vulnerabilities found on the system"), den Windows-Update-Verlauf (Get-HotFix, das die WMI-Klasse Win32_QuickFixEngineering abfragt) sowie Apples eigene Liste der Sicherheitsupdates unter support.apple.com, die für jedes ausgelieferte Update die Zuordnung von Build und Version festhält.

Verifizieren heisst, das tatsächlich Installierte mit diesem Advisory zu vergleichen, und sich nicht darauf zu verlassen, dass der Patch-Job mit Exit-Code 0 endete.

Warum es wichtig ist

Ein Update-Werkzeug kann Erfolg melden, obwohl der konkrete Fix nicht installiert wurde: wegen eines Repository-Pins, eines zurückgehaltenen Pakets (Hold), einer gescheiterten Abhängigkeitsauflösung oder, unter Windows wie unter Linux, weil ein Update zwar installiert ist, aber erst nach einem Neustart wirkt. Der Status "gepatcht" ist nur so verlässlich wie die letzte Prüfung, die die CVE oder das Advisory ausdrücklich benannt und bestätigt hat, dass die behobene Version tatsächlich läuft.

So wird es angewendet

• Debian: debsecan --suite <codename> --only-fixed ausführen (laut Man-Page ist zusammen mit --only-fixed die korrekte Suite anzugeben), um Schwachstellen aufzulisten, für die ein behobenes Paket existiert. debsecan nutzt die Sicherheitsdaten von Debian und eignet sich daher nicht als Prüfung für Ubuntu; unter Ubuntu dpkg-query -W <package> mit der im USN genannten behobenen Version vergleichen.
• RHEL 8 bis 10 (DNF 4): dnf updateinfo list --security listet Advisories, für die ein neueres Paket verfügbar ist (also noch ausstehende), dnf updateinfo list --security --installed die bereits angewendeten, und dnf updateinfo info <advisory-id> zeigt ein einzelnes Advisory im Detail. Fedora 41 und neuer verwenden DNF 5, wo der Befehl dnf advisory lautet.
• Windows: Get-HotFix | Sort-Object InstalledOn -Descending listet Updates auf, die über Component-Based Servicing eingespielt wurden, und wird mit der KB-Nummer aus den Release Notes abgeglichen. Updates, die über andere Mechanismen wie Windows Installer installiert wurden, erscheinen darin nicht. Kumulative Updates lassen sich am zuverlässigsten über den OS-Build identifizieren: CurrentBuild und UBR unter HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion mit dem für die KB angegebenen Build vergleichen.
• macOS: sw_vers -productVersion (und -buildVersion) mit dem aktuellen Build vergleichen, der auf Apples Seite zu den Sicherheitsupdates für die jeweilige OS-Versionslinie aufgeführt ist.
• Auf jedem Betriebssystem vor der Feststellung, der Fix sei aktiv, prüfen, ob noch ein Neustart aussteht: dnf needs-restarting -r meldet ab RHEL 8 "whether a reboot is required" (Exit-Code 1 bedeutet ja), und -s listet die neu zu startenden Dienste auf. Unter Debian/Ubuntu legen Pakete, die einen Neustart erfordern, die Datei /var/run/reboot-required an; unattended-upgrades startet nur dann selbständig neu, wenn Unattended-Upgrade::Automatic-Reboot auf true gesetzt ist (Standard ist false), und Dienste, die veraltete Bibliotheken nutzen, werden von needrestart behandelt.

Stolpersteine

• Der eigenen Meldung "up to date" eines Update-Managers vertrauen, ohne die CVE oder das Advisory zu benennen, für die geprüft wurde.
• Bestätigen, dass sich die Paketversion geändert hat, aber nie prüfen, ob der laufende Prozess (ein langlebiger Daemon, ein Kernel) neu gestartet wurde und die Änderung übernommen hat.
• Mit einer zwischengespeicherten oder veralteten Advisory-Liste vergleichen; die Metadaten (apt update, dnf makecache oder die Advisory-Seite neu laden) unmittelbar vor dem Vergleich aktualisieren.