Mettre à jour FreeBSD : freebsd-update pour le système de base, pkg upgrade pour les paquets et pkg audit pour les vulnérabilités connues

Objectif

Appliquer les correctifs de sécurité et les mises à jour de paquets sur un hôte FreeBSD 14.x, effectuer une mise à niveau vers une nouvelle version majeure, et vérifier les paquets installés par rapport aux vulnérabilités connues avant ou après l'une ou l'autre de ces opérations.

Prérequis

Accès root ; les mises à jour binaires n'existent que pour les builds RELEASE (ainsi qu'ALPHA/BETA/RC) sur les architectures prises en charge, et non pour les systèmes compilés depuis les sources ; pour une mise à niveau de version, une fenêtre de maintenance incluant au moins un redémarrage et, selon le Manuel FreeBSD (Handbook), une sauvegarde complète réalisée au préalable.

Étapes

1. Corriger le système de base (noyau et binaires du userland, pas les paquets tiers) : freebsd-update fetch, puis freebsd-update install. La page de manuel décrit freebsd-update comme l'outil « used to fetch, install, and rollback » (utilisé pour récupérer, installer et annuler) les mises à jour binaires. fetch refuse de s'exécuter sans terminal ; pour des vérifications planifiées, utiliser freebsd-update cron, qui se contente de télécharger. Si les correctifs touchent le noyau, le Handbook indique qu'un redémarrage est nécessaire pour démarrer sur le noyau corrigé ; sinon, redémarrer les démons concernés.
2. Pour changer de version, appliquer d'abord les correctifs courants, puis exécuter freebsd-update -r 14.3-RELEASE upgrade (en remplaçant par la version cible) et examiner la liste des composants. Cette étape télécharge la version et fusionne les fichiers de configuration, ce qui peut ouvrir un éditeur pour des fusions manuelles : elle ne s'exécute pas sans surveillance. Ensuite, freebsd-update install installe le noyau ; redémarrer ; exécuter à nouveau freebsd-update install pour le userland ; après un changement de version majeure, réinstaller tous les paquets (pkg-static upgrade -f) et lancer freebsd-update install une dernière fois pour supprimer les anciennes bibliothèques partagées.
3. Mettre à jour les paquets tiers installés indépendamment du système de base : pkg update (actualisation du catalogue), puis pkg upgrade (ou pkg upgrade -y pour une exécution non interactive). pkg-upgrade(8) décrit la commande comme comparant les versions des paquets installés à « what is available » (ce qui est disponible) dans les dépôts configurés et ajoutant ceux qui sont obsolètes à une liste de travail ; elle n'installe pas de nouveaux paquets, sauf pour satisfaire des dépendances.
4. Rechercher les vulnérabilités connues avant ou après la mise à jour : pkg audit -F. pkg-audit(8) documente la commande comme auditant « installed packages against known vulnerabilities » (les paquets installés par rapport aux vulnérabilités connues) et produisant des rapports avec des références à des avis de sécurité ; -F télécharge d'abord la base de données des vulnérabilités. Tout paquet signalé doit être traité en priorité : mise à jour ou suppression.
5. Prendre connaissance du statut de pkgbase avant de s'y fier : la publication du système de base sous forme de paquets pkg(8) a débuté en octobre 2023, et le Handbook indique sans ambiguïté que « their use with FreeBSD 14 is currently experimental » (leur utilisation avec FreeBSD 14 est actuellement expérimentale) ; freebsd-base(7) ne devient une préversion technologique (technology preview) qu'à partir de FreeBSD 15.0-RELEASE, pour l'installation ainsi que les mises à niveau mineures et majeures. Sous FreeBSD 14.x, freebsd-update reste la méthode documentée de mise à jour du système de base.

Résultat attendu

freebsd-update install se termine avec le code 0 et le freebsd-update fetch suivant ne signale aucun correctif en attente ; freebsd-version -kru affiche les versions attendues du noyau installé, du noyau en cours d'exécution et du userland ; pkg audit ne signale aucun paquet vulnérable installé.

Limites et base de vérification

Un freebsd-update upgrade de version ne peut pas être entièrement scripté de bout en bout, à cause des invites interactives de fusion de la configuration ; l'associer à un boot environment ZFS (voir l'article complémentaire sur bectl) permet d'annuler une mise à niveau échouée sans restaurer une sauvegarde. pkg audit vérifie les paquets installés ; les vulnérabilités du système de base sont traitées par les avis de sécurité FreeBSD et freebsd-update, de sorte qu'un pkg audit sans alerte ne prouve pas que le système de base est à jour de ses correctifs.