Fecha y Hora: 28-Apr-2024 15:36
IP Pública: 3.145.152.242
Usuario:
Público
| 04/Sep/2010 | FAQ sobre Yum |
FAQ sobre YumPlugin yum-security para YumEl plugin yum-security para Yum permite gestionar las actualizaciones de seguridad de paquetes, de modo que podemos limitar la actualización de aquellos que tengan únicamente fallos de seguridad, ejemplo: yum install yum-security También podemos listar aquellos paquetes que tienen fallos de seguridad y todavía no hemos actualizado, así como información adicional sobre dichas vulnerabilidades: yum list-security El plugin yum-security también permite actualizar aquellos paquetes que se ven afectados por un determinado ID de BugZilla (--bz) o CVE (Common Vulnerabilities and Exposures), ejemplo: yum update --cve CVE-2008-0947 Podemos encontrar información adicional sobre el plugin yum-security para Yum en: - KB de RHEL 5: Is it possible to limit Yum so that it lists or installs only security updates?∞ - KB de RHEL 5: Is it possible to install a security update based on a CVE reference?∞ - Red Hat Magazine. Tips and tricks: yum-security∞ Reinstalación de un paquete RPM con YumYum carece de una funcionalidad muy interesante que tienen otros gestores de paquetes como el APT de Debian: forzar la reinstalación de un paquete RPM ya instalado. Es una tarea muy útil si queremos recuperar o restablecer un fichero que hemos borrado por error, recuperar los permisos que hemos cambiado a un fichero de configuración importante, volver a instalar un binario que ha sido comprometido tras una intrusión o ataque, recuperarnos tras un catastrófico "chmod -R 777 /", etc.. algo que con el APT de Debian se soluciona rápidamente con el comando "apt-get install --reinstall paquete". Estos son algunos "hacks" para tratar de simular el --reinstall de APT para forzar la reinstalación de un paquete RPM con Yum:
yum remove paquete
rpm -e --nodeps paquete
rpm -e --justdb --nodeps paquete Descargar un paquete RPM con Yum sin necesidad de instalarloEl plugin yum-downloadonly para Yum permite descargar paquetes RPM sin tener que llegar a instalarlos, así evitamos tener que localizarlo en el mirror, FTP, etc.. Ejemplo: Para descargar el paquete ipvsadm sin llegar a instalarlo en una CentOS 5, instalamos el paquete yum-downloadonly y utilizamos el nuevo flag --downloadonly: # yum install yum-downloadonly Los paquetes se descargaran por defecto en el directorio /var/cache/yum/base/packages, pero podemos modificar esta parámetro con el flag --downloaddir=. Si el paquete ya estaba instalado previamente este plugin no funcionará y tendremos que utilizar algún hack tipo –-installroot: # mkdir -p /tmp/var/cache En este caso el paquete estará dentro del directorio temporal que hemos utilizado como raíz (parámetro –-installroot), realmente es un hack un poco chapucero.. pero en algunas ocasiones puede resultar mas cómodo que acudir a buscarlo al FTP, mirror, etc.. También podemos utilizar el script yumdownloader del paquete yum-utils: # yum install yum-utils NOTA: Es importante recordar que Yum por defecto no deja una copia del paquete RPM en /var/cache/yum una vez instalado, pero podemos activar (valor 1) o desactivar (valor 0) este comportamiento modificando el parámetro keepcache en el fichero /etc/yum.conf, los paquetes RPM estarán en este directorio hasta que se ejecute un yum clean all o se borren manualmente... Downgrade de versión en un paquete RPM con YumPor defecto, Yum y RPM no permiten hacer downgrade de versiones de un paquete ya instalado, es decir, no es posible instalar una versión anterior. En RPM podemos utilizar el flag --oldpackage para indicar que queremos volver atrás e instalar una versión anterior, en este caso vamos a hacer un downgrade de la release 22.2 -> 22.1: # rpm -q -a httpd --queryformat="%{VERSION} - %{RELEASE}\n"
Si queremos hacer downgrade con Yum tenemos que utilizar el plugin yum-allowdowngrade: yum install yum-allowdowngrade Descargar el código fuente, source o SRPM de un RPM con YumSi queremos descargar el código fuente de un RPM (SRPM) con Yum tendremos que añadir un repositorio extra a la configuración y utilizar el script yumdownloader∞, ya que por defecto no está habilitada esta funcionalidad. Este repositorio funciona para cualquier versión y arquitectura de CentOS (si quieres puedes descargarte el fichero CentOS-Source.repo desde aquí∞): [root@woop ~]# cat /etc/yum.repos.d/CentOS-Source.repo NOTA: En lugar de utilizar el servidor mirror.centos.org puede ser buena idea pasarse por el servicio de mirrors de CentOS∞ y seleccionar el mas adecuado. Una vez configurado el nuevo repositorio con los SRPM, podemos utilizar yumdownloader∞ con el flag --source para obtener el source del RPM, ejemplo: yumdownloader --source httpd Localizar binarios que estan en el $PATH y no pertenecen a ningun RPMTras una intrusión con acceso root a una máquina Linux suele ser muy habitual dejar binarios hackeados o ficheros que pertenecen a un rootkit dentro del $PATH. La mayoría de las aplicaciones para detectar rootkits de forma automática no contemplan este escenario, ya que suelen comprobar la integridad de las aplicaciones instaladas basandose en los metadatos de los paquetes RPM/DPKG, etc.. Este pequeño script genera un listado de todos aquellos ficheros que están en el $PATH del usuario que lo ejecuta, y por cada uno de ellos se comprueba si pertenece a algún paquete RPM (con el parámetro --whatprovides), en caso de no pertenecer se genera una alerta: #!/bin/bash Localizar y borrar paquetes RPMs duplicadosEn ocasiones ocurre que podemos llegar a tener instaladas dos o mas versiones diferentes del mismo paquete RPM, para tratar de solucionarlo podemos reconstruir la base de datos RPM por si se tratara de algún error con el comando rpm --rebuilddb, y si tras la reconstrucción siguen apareciendo paquetes duplicados tendremos que localizar y borrar el mas antiguo para mantener el mas reciente. El paquete yum-utils contiene el script package-cleanup que entre otras cosas sirve para localizar de forma automática los paquetes RPMs duplicados (también localiza cualquier otro problema con los RPMs como: entradas corruptas en la BBDD, paquetes huerfanos que no han sido instalados desde un repositorio, etc..): # yum install yum-utils Podemos automatizar esta tarea con unas sencillas consultas a la base de datos RPM, ejemplo: #!/bin/bash NOTA: Si queremos borrar todas las versiones, y de diferentes arquitecturas, del mismo paquete se debe utilizar el flag --allmatches al llamar a RPM. Localizar paquetes RPM huérfanos con rpmorphan (equivalente al deborphan de Debian)Cuando instalamos un paquete con Yum∞, APT, etc.. suele ser habitual que se instalen otros por dependencias. Posteriormente si borramos ese paquete "padre" los paquetes-dependencias seguirán instalados ocupando espacio en disco, a estos paquetes se les llamar huérfanos (no tienen padre). Para distribuciones basadas en Red Hat, existe el script rpmorphan∞ que nos a ayuda a localizar estos paquetes RPM huérfanos. El programa trata de ser un clon de su equivalente en Debian, deborphan∞, incluso su sintaxis es prácticamente idéntica, ejemplos: # rpmorphan Adicionalmente, al instalar el RPM rpmorphan∞ se instalarán las utilidades rpmdep para consultar las dependencias de un determinado paquete, rpmduplicates para localizar paquetes RPMs duplicados∞ y rpmusage para determinar cuando fue usado por última vez los binarios de un RPM (funciona comparando el "atime" del inodo contra el "atime" que debería tener según la información del RPM). NOTA 1: El paquete yum-utils contiene el plugin package-cleanup para Yum, que permite automatizar la tarea de limpieza de paquetes huérfanos tras terminar cada ejecución de Yum pasando el flag --leaves. También podemos listar los paquetes instalados que no pertenecen a los repositorios configurados, es decir, instalaciones manuales y/o instalados por otro método: /usr/bin/package-cleanup --orphans NOTA 2: No se debe confundir el concepto de paquete huérfano (que no tiene padre) con el que se suele utilizar entorno a la distribución Fedora para referirse a que el paquete RPM no tiene un "mantenedor", es decir, alguien encargado de actualizarlo. Como reempaquetar un RPM ya instaladoCon el script rpmrebuild∞ (de Eric Gerbier∞, el mismo autor de rpmorphan∞, rpmrestore∞, etc..) podemos re-empaquetar un fichero RPM desde un paquete ya instalado, la herramienta trata de ser el equivalente al dpkg-repack de Debian. El script resulta muy útil cuando necesitamos instalar un RPM que tenemos instalado sobre una máquina pero no tenemos forma de obtener el RPM original (por ser una versión/aplicación obsoleta, el autor lo ha borrado, no existe el fichero SRPM o SPEC, etc.). En base a la información del paquete instalado, con rpmrebuild∞ podemos reconstruir el fichero RPM e instalarlo donde sea necesario. ¿Cómo funciona? Para re-empaquetar un RPM ya instalado tan solo necesitamos los ficheros que este instala e "información adicional" (versión, dependencias, scripts de instalación, proceso de desinstalación, etc.): todo ello se encuentra en la base de datos de RPM (/var/lib/rpm), rpmrebuild∞ se encarga extraer esta información y regenera el RPM original, ejemplo: $ rpmrebuild rpmforge-release El script permite realizar cualquier cambio "al vuelo" sobre el fichero SPEC, como por ejemplo cambiar la versión, release, etc. Para algo mas avanzado a la hora de re-empaquetar RPMs recomiendo la lectura de Hacking RPMs with rpmrebuild∞ en la Red Hat Magazine∞. Tip! Cuando borramos un paquete con rpm podemos pasarle el flag --repackage para dejar automáticamente un backup del RPM borrado en /var/spool/repackage (para que Yum guarde una copia de cada paquete borrado/actualizado tenemos que añadir tsflags=repackage en el fichero yum.conf): este proceso es muy similar a la forma de trabajar del script rpmrebuild∞, pero para obtener el RPM es necesario llegar a borrar el paquete (mas información en Transactions and rollback with RPM∞). Ver el ChangeLog (listado de cambios) de un paquete antes y/o después de actualizarlo vía YumEl plugin yum-changelog para Yum nos permite ver los cambios de un paquete antes y/o después de actualizarlo vía Yum. Ejemplo para ver los cambios que introduce el paquete strace antes de proceder a actualizarlo: # yum install yum-changelog Editando la variable when del fichero /etc/yum/pluginconf.d/changelog.conf podemos indicar cuando queremos ver dichos cambios: antes de proceder con la actualización (when=pre) o una vez finalizado el proceso de actualización (when=post). También podemos consultar el ChangeLog de un determinado paquete, utilidad similar al comando rpm -q --changelog paquete de RPM, o obtener un listado con todos los cambios aplicados a la distribución en un determinado rango de fechas (para ello tendremos que instalar antes el paquete python-dateutil desde RPMforge∞ o nos dará el error Dateutil module not available, so can't parse dates): # yum --enablerepo=rpmforge install python-dateutil
|
|