如何从命令行仅安装安全更新？

sudo apt-get upgrade安装所有更新，而不仅仅是安全更新。我知道我可以使用Update Manager仅选择重要的安全更新，但是是否可以从命令行执行此操作？

无人值守升级软件包提供了自动安装安全更新的功能。

您可以使用它，但是您可以手动调用它，而不是配置自动零件：

sudo unattended-upgrade -d --dry-run
sudo unattended-upgrade -d

如果要安静地运行它：

sudo unattended-upgrade

注意：当您调用无人值守升级时，请不要在结尾加上“ s”。

这假定默认情况下已安装该软件包。如果没有，请执行以下操作：

sudo apt-get install unattended-upgrades

另请参阅/usr/share/doc/unattended-upgrades/README.md。

有关如何管理更新的一些提示

这对Debian和Ubuntu均适用，但是有关Ubuntu的更多具体说明如下。

• 仅显示安全更新：

  apt-get -s dist-upgrade |grep "^Inst" |grep -i securi 
  

  要么

  sudo unattended-upgrade --dry-run -d
  

  要么

  /usr/lib/update-notifier/apt-check -p
  

• 显示所有可升级的软件包

  apt-get -s dist-upgrade | grep "^Inst"
  

• 仅安装安全更新

  apt-get -s dist-upgrade | grep "^Inst" | 
      grep -i securi | awk -F " " {'print $2'} | 
      xargs apt-get install
  

笔记：

• 有时Ubuntu会显示安全更新，就好像它们来自$ release-updates存储库。有人这样说，因为Ubuntu开发人员会将安全更新推送到$ release-updates存储库中，以加快其可用性。

  在这种情况下，您可以执行以下操作以仅显示安全更新：

  sudo sh -c 'grep ^deb /etc/apt/sources.list | 
      grep security > /etc/apt/sources.security.only.list'
  

  和

  apt-get -s dist-upgrade -o Dir::Etc::SourceList=/etc/apt/sources.security.only.list -o Dir::Etc::SourceParts=/dev/null  | 
      grep "^Inst" | awk -F " " {'print $2'}
  

• 检查软件包升级后需要重新启动哪些服务。弄清楚要升级的软件包，并计划重新启动/重新引导。这里的问题是，除非重新启动服务，否则它可能仍会使用旧版本的库（最常见的原因），该库在安装新的可修复安全漏洞的软件包之前已加载到内存中。

  checkrestart -v
  

  但是，请记住，这checkrestart可能会列出不必重启的进程。例如，PostgreSQL服务可能会在其内存中保留对已删除的xlog文件的引用，这不是重启服务的有效理由。

  因此，使用标准utils进行检查的另一种更可靠的方法是以下我从https://locallost.net/?p=233偷偷摸摸的小bash脚本。

  它通过将那些正在运行的进程的副本保存在活动内存中，来检查系统上正在运行的进程是否仍在使用已删除的库。

  ps xh -o pid |
  while read PROCID; do
         grep 'so.* (deleted)$' /proc/$PROCID/maps 2> /dev/null
         if [ $? -eq 0 ]; then
                 CMDLINE=$(sed -e 's/\x00/ /g' < /proc/$PROCID/cmdline)
                 echo -e "\tPID $PROCID $CMDLINE\n"
         fi
  done
  

替换/etc/apt/preferences为以下内容：

Package: *
Pin: release a=lucid-security
Pin-Priority: 500

Package: *
Pin: release o=Ubuntu
Pin-Priority: 50

现在，简单apt-get upgrade升级将仅升级所有安全更新。

为何（以及如何）起作用：首选项文件会将Ubuntu发行版中的所有软件包固定为优先级50，这将使它们比已安装的软件包不那么受欢迎。来自安全性存储库的文件被赋予默认（500）优先级，因此考虑将其安装。这意味着只有比当前安装的软件包更可取的软件包才是安全更新。有关固定在apt_preferences手册页中的更多信息。

您可以使用--target-release与apt-get和aptitude（至少）一起使用的选项来临时促进某种发行版本的更新，这将允许您固定某些发行版，以便它们有资格升级。

如果您只想将其用于脚本，而不是将其设置为系统的默认值，则可以将规则放置在其他位置，并改为使用：

apt-get -o Dir::Etc::Preferences=/path/to/preferences_file upgrade

这将易于从非默认位置查找首选项文件。

作为示例提供的首选项文件不适用于第三方存储库，如果您也希望固定这些存储库，则可以使用apt-cache policy它们轻松确定所需的固定密钥。

在Ubuntu 14.04 LTS中确认了以下内容。

使用unattended-upgrade包装。

看一下文件/etc/apt/apt.conf.d/50unattended-upgrades。顶部应该有一个部分是：

// Automatically upgrade packages from these (origin:archive) pairs
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
//  "${distro_id}:${distro_codename}-updates";
//  "${distro_id}:${distro_codename}-proposed";
//  "${distro_id}:${distro_codename}-backports";
};

请注意，默认情况下如何将其配置为仅允许无人参与的安全软件包升级。

修改文件/etc/apt/apt.conf.d/10periodic类似于：

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";

它将每天运行一次自动无人值守安全升级。

现在，要手动运行：sudo unattended-upgrade。

为了测试作为干运行，没有做任何事情：sudo unattended-upgrade --dry-run。

资料来源：https : //help.ubuntu.com/14.04/serverguide/automatic-updates.html

尽管它很丑陋，但是您可以禁用除安全性存储库之外的所有存储库，然后执行以下操作：

sudo apt-get update && sudo apt-get upgrade

我还没有测试过，但是从理论上讲，它只会在安全性仓库中找到更新并应用它们。

• apt-get update：仅读取存储库中的条目-根据现有列表。需要检查什么是新的。
• apt-get upgrade：没有内核模块的已安装软件包的所有更新。没有版本更新。
• apt-get dist-upgrade：包含内核模块的已安装软件包的所有更新。没有版本更新。
• apt-get带有参数-s：仅测试，不执行任何更改。

在Debians上，我使用以下命令仅执行安全更新：

apt-get install -y --only-upgrade $( apt-get --just-print upgrade | awk 'tolower($4) ~ /.*security.*/ || tolower($5) ~ /.*security.*/ {print $2}' | sort | uniq )

我在apt-get或aptitude中都找不到一个选项，但是有人对SuperUser 有相同的问题。唯一的响应是：

Check and adjust /etc/apt/apt.conf.d/50unattended-upgrade. 
Did you replace 'karmic' with the code name of your Ubuntu?

但是，没有答复是否有效。

这是一个可以通过几种不同方式实现此目的的脚本：

#!/usr/bin/env bash
set -e

# List upgradable packages
apt-get update
apt list --upgradable 2>/dev/null
# List security upgrades
test "$(apt-get upgrade -s -y)" && (apt-get upgrade -s -y)
# List upgradable apt packages then upgrade
apt-get update && apt-get upgrade -y  -V | grep '=>' | awk '{print$1}' && test "$(apt-get upgrade -y)"