FreeBSD aktualisieren: freebsd-update für das Basissystem, pkg upgrade für Pakete und pkg audit für bekannte Schwachstellen

Ziel

Auf einem FreeBSD-14.x-Host Sicherheitspatches und Paketupdates einspielen, ein Major-Release-Upgrade durchführen und die installierten Pakete vor oder nach beidem auf bekannte Schwachstellen prüfen.

Voraussetzungen

Root-Zugriff. Binäre Updates gibt es nur für RELEASE-Builds (sowie ALPHA/BETA/RC) auf unterstützten Architekturen, nicht für aus dem Quellcode gebaute Systeme. Für ein Release-Upgrade ein Wartungsfenster mit mindestens einem Neustart sowie, gemäss FreeBSD Handbook, ein vorab erstelltes vollständiges Backup.

Schritte

1. Das Basissystem patchen (Kernel und Userland-Binärdateien, nicht aber Drittanbieterpakete): freebsd-update fetch, danach freebsd-update install. Die Manpage beschreibt freebsd-update als Werkzeug, das "used to fetch, install, and rollback" (zum Abrufen, Installieren und Zurückrollen) binärer Updates dient. fetch verweigert die Ausführung ohne Terminal; für zeitgesteuerte Prüfungen freebsd-update cron verwenden, das nur herunterlädt. Betreffen die Patches den Kernel, ist laut Handbook ein Neustart nötig, damit das System den gepatchten Kernel bootet; andernfalls die betroffenen Daemons neu starten.
2. Für einen Release-Wechsel zuerst die aktuellen Patches einspielen, dann freebsd-update -r 14.3-RELEASE upgrade ausführen (Zielversion entsprechend ersetzen) und die Komponentenliste prüfen. Dieser Schritt lädt das Release herunter und führt Konfigurationsdateien zusammen, wobei für manuelles Mergen ein Editor geöffnet werden kann; er läuft also nicht unbeaufsichtigt durch. Anschliessend installiert freebsd-update install den Kernel; danach neu starten und freebsd-update install erneut für das Userland ausführen. Nach einem Wechsel der Major-Version alle Pakete neu installieren (pkg-static upgrade -f) und freebsd-update install ein weiteres Mal ausführen, um alte Shared Libraries zu entfernen.
3. Installierte Drittanbieterpakete unabhängig vom Basissystem aktualisieren: pkg update (Katalog auffrischen), dann pkg upgrade (oder pkg upgrade -y für einen nicht interaktiven Lauf). Laut pkg-upgrade(8) vergleicht der Befehl die Versionen der installierten Pakete "to what is available" (mit dem, was verfügbar ist) in den konfigurierten Repositories und setzt veraltete Pakete auf eine Arbeitsliste; neue Pakete installiert er nur, wenn Abhängigkeiten dies erfordern.
4. Vor oder nach dem Upgrade auf bekannte Schwachstellen prüfen: pkg audit -F. Gemäss pkg-audit(8) prüft der Befehl "installed packages against known vulnerabilities" (installierte Pakete auf bekannte Schwachstellen) und erstellt Berichte mit Verweisen auf Security Advisories; -F lädt vorher die Schwachstellendatenbank herunter. Jedes gemeldete Paket vorrangig aktualisieren oder entfernen.
5. Vor dem Einsatz von pkgbase dessen Status beachten: Die Veröffentlichung des Basissystems als pkg(8)-Pakete begann im Oktober 2023, und das Handbook hält unmissverständlich fest, dass "their use with FreeBSD 14 is currently experimental" (ihr Einsatz unter FreeBSD 14 derzeit experimentell ist); freebsd-base(7) wird erst ab FreeBSD 15.0-RELEASE als Technology Preview für Installation sowie Minor- und Major-Upgrades verfügbar. Unter FreeBSD 14.x bleibt freebsd-update der dokumentierte Weg zur Aktualisierung des Basissystems.

Erwartetes Ergebnis

freebsd-update install endet mit Exit-Code 0, und beim nächsten freebsd-update fetch stehen keine Patches mehr aus; freebsd-version -kru zeigt die erwarteten Versionen von installiertem Kernel, laufendem Kernel und Userland; pkg audit meldet keine installierten verwundbaren Pakete.

Grenzen und Prüfbasis

Ein Release-Upgrade mit freebsd-update upgrade lässt sich wegen der interaktiven Abfragen beim Zusammenführen der Konfiguration nicht vollständig automatisieren. Es empfiehlt sich, dabei ein ZFS-Boot-Environment zu verwenden (siehe den begleitenden Artikel zu bectl), damit ein fehlgeschlagenes Upgrade ohne Wiederherstellung aus dem Backup zurückgerollt werden kann. pkg audit prüft installierte Pakete; Schwachstellen im Basissystem werden über FreeBSD Security Advisories und freebsd-update behandelt. Ein unauffälliges pkg audit belegt daher nicht, dass das Basissystem gepatcht ist.