コマンドラインからセキュリティ更新プログラムのみをインストールする方法はありますか？

sudo apt-get upgradeセキュリティアップデートだけでなく、すべてのアップデートをインストールします。Update Managerを使用して重要なセキュリティアップデートのみを選択できることは知っていますが、コマンドラインからこれを行う方法はありますか？

パッケージ無人アップグレードは、セキュリティ更新プログラムを自動的にインストールする機能を提供します。

これを使用できますが、自動パーツを構成する代わりに、手動で呼び出すことができます。

sudo unattended-upgrade -d --dry-run
sudo unattended-upgrade -d

代わりに静かに実行したい場合：

sudo unattended-upgrade

注：無人アップグレードを呼び出す場合は、「s」を最後から外します。

これは、おそらくパッケージがデフォルトでインストールされていることを前提としています。そうでない場合は、次のようにします。

sudo apt-get install unattended-upgrades

も参照してください/usr/share/doc/unattended-upgrades/README.md。

更新を管理する方法に関するいくつかのヒント

これはDebianとUbuntuの両方に適用されますが、Ubuntuのより具体的な手順は次のとおりです。

• セキュリティアップデートのみを表示する：

  apt-get -s dist-upgrade |grep "^Inst" |grep -i securi 
  

  または

  sudo unattended-upgrade --dry-run -d
  

  または

  /usr/lib/update-notifier/apt-check -p
  

• アップグレード可能なパッケージをすべて表示

  apt-get -s dist-upgrade | grep "^Inst"
  

• セキュリティ更新プログラムのみをインストールする

  apt-get -s dist-upgrade | grep "^Inst" | 
      grep -i securi | awk -F " " {'print $2'} | 
      xargs apt-get install
  

ノート：

• Ubuntuは、$ release-updatesリポジトリから来ているかのようにセキュリティ更新を表示することがあります。Ubuntu開発者は$ release-updatesリポジトリにもセキュリティ更新をプッシュし、可用性を向上させるため、これはそうです。

  その場合は、次の手順を実行してセキュリティ更新プログラムのみを表示できます。

  sudo sh -c 'grep ^deb /etc/apt/sources.list | 
      grep security > /etc/apt/sources.security.only.list'
  

  そして

  apt-get -s dist-upgrade -o Dir::Etc::SourceList=/etc/apt/sources.security.only.list -o Dir::Etc::SourceParts=/dev/null  | 
      grep "^Inst" | awk -F " " {'print $2'}
  

• パッケージのアップグレード後に再起動する必要があるサービスを確認します。事前にアップグレードするパッケージを把握し、再起動/再起動をスケジュールします。ここでの問題は、サービスを再起動しない限り、セキュリティの脆弱性などを修正する新しいパッケージをインストールする前にメモリに読み込まれた古いバージョンのライブラリ（最も一般的な理由）を使用している可能性があることです。

  checkrestart -v
  

  ただし、checkrestart必ずしも再起動する必要のないプロセスがリストされる場合があることに注意してください。たとえば、PostgreSQLサービスは既に削除されたxlogファイルへのメモリ参照を保持している場合がありますが、これはサービスを再起動する有効な理由ではありません。

  したがって、標準のユーティリティを使用してこれを確認する別のより信頼性の高い方法は、https： //locallost.net/？p = 233から恥知らずに盗んだ次の小さなbashスクリプトです

  アクティブなメモリにそれらのコピーを保持することにより、システム上で実行中のプロセスがまだ削除されたライブラリを使用しているかどうかをチェックします。

  ps xh -o pid |
  while read PROCID; do
         grep 'so.* (deleted)$' /proc/$PROCID/maps 2> /dev/null
         if [ $? -eq 0 ]; then
                 CMDLINE=$(sed -e 's/\x00/ /g' < /proc/$PROCID/cmdline)
                 echo -e "\tPID $PROCID $CMDLINE\n"
         fi
  done
  

/etc/apt/preferences次のものに置き換えます。

Package: *
Pin: release a=lucid-security
Pin-Priority: 500

Package: *
Pin: release o=Ubuntu
Pin-Priority: 50

これで、apt-get upgradeすべてのセキュリティ更新プログラムのみがアップグレードされます。

なぜ（そしてどのように）これが機能するのか：設定ファイルはUbuntuディストリビューションのすべてのパッケージを優先度50に固定します。これにより、既にインストールされているパッケージよりも望ましくなくなります。セキュリティリポジトリから生成されたファイルには、デフォルト（500）の優先度が与えられているため、インストールが考慮されます。つまり、現在インストールされているパッケージよりも望ましいと考えられるパッケージのみがセキュリティ更新プログラムです。ピン留めの詳細については、apt_preferencesのマンページを参照してください。

あなたは一時的に更新のための特定の分布を促進することができる--target-releaseと連携オプションapt-getとaptitude、彼らはアップグレードの対象になるように、あなたが特定のリリースを固定できるようになります（少なくとも）。

これをスクリプトのみに使用し、システムのデフォルトにしたくない場合は、ルールを他の場所に配置し、代わりにこれを使用できます。

apt-get -o Dir::Etc::Preferences=/path/to/preferences_file upgrade

これにより、aptはデフォルト以外の場所から設定ファイルを探します。

例として与えられた設定ファイルは、サードパーティのリポジトリには適用されません。それらを固定したい場合apt-cache policy、固定に必要なキーを簡単に決定するために使用できます。

Ubuntu 14.04 LTSでは次のことが確認されています。

unattended-upgradeパッケージを使用します。

ファイルを見てください/etc/apt/apt.conf.d/50unattended-upgrades。上部に次のセクションがあるはずです。

// Automatically upgrade packages from these (origin:archive) pairs
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
//  "${distro_id}:${distro_codename}-updates";
//  "${distro_id}:${distro_codename}-proposed";
//  "${distro_id}:${distro_codename}-backports";
};

デフォルトでセキュリティパッケージの無人アップグレードのみを許可するように設定されていることに注意してください。

次の/etc/apt/apt.conf.d/10periodicようなファイルを変更します。

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";

これにより、1日1回、自動無人セキュリティアップグレードが実行されます。

次に、手動で実行しますsudo unattended-upgrade。

何もせずにドライランとしてテストするには：sudo unattended-upgrade --dry-run。

ソース：https : //help.ubuntu.com/14.04/serverguide/automatic-updates.html

かなりいですが、セキュリティリポジトリ以外のすべてのリポジトリを無効にしてから実行できます。

sudo apt-get update && sudo apt-get upgrade

私はそれをテストしていませんが、理論的にはセキュリティリポジトリで更新を見つけて適用するだけです...

• apt-get update：リポジトリ内のエントリを読み取る-既存のリストによる。新機能を確認する必要がありました。
• apt-get upgrade：カーネルモジュールなしのインストール済みパッケージのすべての更新。リリース更新なし。
• apt-get dist-upgrade：インストールされたパッケージのすべてのアップデートとカーネルモジュール。リリース更新なし。
• apt-getパラメータ付き-s：テストのみ、変更なし。

Debianでは、このコマンドを使用してセキュリティ更新のみを行います。

apt-get install -y --only-upgrade $( apt-get --just-print upgrade | awk 'tolower($4) ~ /.*security.*/ || tolower($5) ~ /.*security.*/ {print $2}' | sort | uniq )

apt-getまたはaptitudeのいずれにもオプションが見つかりませんが、SuperUser について同じ質問がありました。唯一の応答は次のとおりです。

Check and adjust /etc/apt/apt.conf.d/50unattended-upgrade. 
Did you replace 'karmic' with the code name of your Ubuntu?

しかし、それが機能したかどうかについては返信しません。

これをいくつかの異なる方法で実現するスクリプトを次に示します。

#!/usr/bin/env bash
set -e

# List upgradable packages
apt-get update
apt list --upgradable 2>/dev/null
# List security upgrades
test "$(apt-get upgrade -s -y)" && (apt-get upgrade -s -y)
# List upgradable apt packages then upgrade
apt-get update && apt-get upgrade -y  -V | grep '=>' | awk '{print$1}' && test "$(apt-get upgrade -y)"