LTS版本的Universe资源库的安全更新？

9

在LTS 12.04发布四年后，如果Universe资源库中的软件包中存在安全问题，该怎么办？软件包是从上游更新，打补丁还是单独保留？

据我了解，“五年的支持和安全更新”仅适用于Ubuntu的核心-Main存储库中的所有内容。不适用于Universe资料库中的内容。

举一个更具体的例子-如果我现在安装Ruby，并希望在12.04以后的几年中使用它，并且它存在安全漏洞；尽管此修补程序可能在上游进行了修补（因此我可以始终从他们的网站下载最新信息，然后自己编译或使用PPA），但此上游修补程序是否可以迁移到精确的软件包存储库中？那回港呢？

updates package-management security lts

— 尼克·梅
source

6

Universe中的软件包是社区维护的。他们是否获得安全更新完全取决于使用它们的社区。

有关在Universe中为软件包提供安全更新的说明，请参见：

基本上，任何人都可以提交错误，附加debdiff，订阅ubuntu-security-sponsors团队，团队中的某人将对其进行检查以确保一切正常，然后将其赞助到存档中。

— 姆德斯劳
source

4

您提供的示例Ruby在主存储库中，并且受支持五年：

$ apt-cache show ruby | grep -E "(^Supported|pool)"
Filename: pool/main/r/ruby-defaults/ruby_4.8_all.deb
Supported: 5y

对于来自宇宙的软件，它甚至没有正式支持在所有的，更不用说五年。从存储库上的社区Wiki：

Canonical不保证Universe组件中软件的定期安全更新，但会在社区提供的地方提供这些更新。

但是，您可能会在由Universe维护软件的社区修补的流行软件包上遇到最严重的问题。只是没有保证。

对于反向移植，我认为这些不应在生产中使用。

— 格特维季克
source