كيف تقرأ تحذيرات الأمان في دبيان (DSA وDLA) وتتحقق من خادمك وفقها

تنشر دبيان تحذيرًا أمنيًا كل يوم تقريبًا، ويتبع كل تحذير النمط نفسه. وحين تتقن قراءة هذا النمط تستطيع أن تجيب في دقيقة عن السؤال الوحيد المهم لخوادمك: هل أشغّل نسخة مصحَّحة أم لا؟ يشرح هذا الدليل أجزاء التحذير في دبيان، ومتتبع الأمان الذي يقف خلفه، والأوامر اللازمة لفحص الجهاز.

DSA أم DLA؟

• DSA (تحذير أمان دبيان) يصدره فريق الأمان في دبيان ويغطي الإصدارات ضمن الدعم الاعتيادي، وهو اليوم دبيان 13 (trixie). تُعلن هذه التحذيرات على القائمة debian-security-announce وتُدرج في debian.org/security.
• DLA (تحذير الدعم طويل الأمد) يصدره فريق LTS الذي يتسلّم المسؤولية بعد انتهاء الدعم الاعتيادي، وهو اليوم دبيان 12 (bookworm) حتى 30 يونيو 2028. تُنشر هذه التحذيرات على debian-lts-announce وفي debian.org/lts/security.

يستخدم النوعان الأرشيف نفسه وطريقة apt نفسها، فإن كنت تشغّل الإصدارين فتابع القائمتين. ويتكون معرّف مثل DSA-6204-1 من رقم ومراجعة، وكثيرًا ما تُصلح المراجعة -2 خللًا تسبب فيه التحديث الأول.

تشريح التحذير

لنأخذ DSA-6204-1 (حزمة openssh، 9 أبريل 2026) مثالًا. يحدد رأس التحذير الحزمة (openssh) ومعرّفات الثغرات (CVE-2026-3497) ورقم البلاغ في دبيان. ثم يصف النص الأثر بلغة واضحة، وهو هنا خلل لا يمسّ إلا الإعدادات غير الافتراضية التي فُعّل فيها GSSAPIKeyExchange. ثم تأتي الأسطر الأهم:

For the oldstable distribution (bookworm), this problem has been fixed in version 1:9.2p1-2+deb12u9. [...] For the stable distribution (trixie), this problem has been fixed in version 1:10.0p1-7+deb13u2.

وأي نسخة مثبتة تساوي النسخة المذكورة لإصدارك أو تزيد عليها تتضمن الإصلاح.

الحزم المصدرية والحزم الثنائية

تذكر التحذيرات الحزمة المصدرية، أما ما تثبّته فهو الحزم الثنائية المبنية منها: فـ openssh تصبح openssh-server وopenssh-client وopenssh-sftp-server، وglibc تصبح libc6 وlibc-bin وغيرهما، وlinux تصبح حزم linux-image-.... ويطلب دليل الأسئلة الشائعة لأمان دبيان تحديث كل الحزم الثنائية المبنية من الحزمة المصدرية المذكورة. ولمعرفة الحزم المثبتة القادمة من مصدر معيّن:

dpkg-query -W -f='${source:Package} ${binary:Package} ${Version}\n' | awk '$1=="openssh"'

قراءة رقم النسخة

تتفرع أرقام النسخ في تحديثات الإصدار المستقر. ويصف دليل مطوري دبيان الاصطلاح +debXuY، حيث X رقم الإصدار وY عدّاد التحديثات، فالنسخة 1.5-3+deb13u1 هي أول تحديث مستقر أو أمني للنسخة 1.5-3 في دبيان 13. ويجيز الدليل نفسه أيضًا الصيغة ~deb13u1 التي ستراها في حزم مثل intel-microcode وsystemd. وعليه فـ +deb12u9 هو التحديث التاسع من هذا النوع في bookworm.

ولا تستغرب بقاء رقم النسخة الأصلية قديمًا؛ فدليل الأسئلة الشائعة يوضح أن دبيان تنقل الإصلاحات الأمنية إلى النسخة التي صدرت مع الإصدار بدل الانتقال إلى نسخ أصلية جديدة، حتى لا يتغير شيء على نحو مفاجئ. لذا يمكن أن تكون openssh 9.2p1 في bookworm مصحَّحة بالكامل. ودع dpkg يتولى المقارنة:

apt policy openssh-server
dpkg --compare-versions "$(dpkg-query -W -f='${Version}' openssh-server)" ge '1:10.0p1-7+deb13u2' && echo fixed || echo update-needed

ويعرض الأمر apt-get changelog openssh-server سجل تغييرات الحزمة، حيث يذكر مشرفو دبيان عادةً الثغرات التي يصلحها كل تحديث.

متتبع الأمان

يرتبط كل تحذير بـ متتبع الأمان. وتعرض صفحات الثغرات فيه، لكل إصدار، النسخة الموجودة حاليًا في الأرشيف وهل هي مصحَّحة أم معرّضة، إضافة إلى النسخة المصحَّحة والتحذير الذي جاء بها. أما صفحات الحزم المصدرية فتعرض المسائل المفتوحة والمحلولة. وتستخدم الملاحظات مفردات محدودة يعرّفها توثيق المتتبع:

• no-dsa: المسألة لا تستدعي تحذيرًا فوريًا، كأن تكون ثانوية، وقد تُصلح مع ذلك في تحديث نقطي أو مع تحديث أمني لاحق.
• postponed: تستحق إصلاحًا عبر تحذير، لكن لا يُصدر تحذير لأجلها وحدها، فتُضم إلى تحديث لاحق.
• ignored: لن يُقدَّم تحديث لها.
• not-affected: الشيفرة المعيبة غير موجودة في نسخة دبيان، أو أُصلحت قبل دخول الحزمة إلى الأرشيف.
• unimportant: لا أثر حقيقي لها على الحزم الثنائية في دبيان، أو أن الحزمة خارج نطاق الدعم الأمني.

ويضيف دليل الأسئلة الشائعة أن ليست كل ثغرة تحصل على تحذير DSA، فالمسائل منخفضة الأثر قد تُصلح في إصدار نقطي أو في إصدار دبيان التالي. لذا فإن غياب تحذير لثغرة ما لا يعني تلقائيًا وجود فجوة.

أدوات مساعدة

• debsecan يقارن الحزم المثبتة ببيانات المتتبع، ومع تحديد الإصدار الصحيح يمكنه أن يعرض فقط الحزم التي يتوفر لها إصلاح: debsecan --suite trixie --format packages --only-fixed.
• check-support-status من الحزمة debian-security-support يعرض الحزم المثبتة التي دعمها الأمني محدود أو منتهٍ.
• needrestart يُظهر الخدمات التي ما زالت تعمل بمكتبات قديمة بعد التحديث.

أما أوبونتو فلها تحذيراتها الخاصة (USN) وأرقام نسخها، فلا تطبّق نسخ دبيان المصحَّحة على أنظمة أوبونتو.

ما الذي ينبغي فعله

• اشترك في debian-security-announce، وفي debian-lts-announce إن كنت ما زلت تشغّل دبيان 12.
• لكل تحذير، حدّد النسخة المصحَّحة لإصدارك وقارنها عبر apt policy أو dpkg --compare-versions.
• حدّث كل الحزم الثنائية المبنية من الحزمة المصدرية المذكورة، ثم أعد تشغيل الخدمات المتأثرة، أو الخادم كله في تحديثات النواة والمكتبات الأساسية.
• استعن بمتتبع الأمان حين يكون التحذير غير واضح أو تبدو ثغرة ما بلا إصلاح، واقرأ ملاحظاته قبل افتراض الأسوأ.

المصادر

• debian.org/security/faq
• security-team.debian.org/security_tracker.html
• debian.org/doc/manuals/developers-reference/pkgs.en.html
• lists.debian.org/debian-security-announce/2026/msg00114.html
• security-tracker.debian.org/tracker/DSA-6204-1
• wiki.debian.org/LTS
• manpages.debian.org/trixie/debsecan/debsecan.1.en.html
• manpages.debian.org/trixie/dpkg/dpkg-query.1.en.html
• manpages.debian.org/trixie/dpkg/dpkg.1.en.html
• manpages.debian.org/trixie/apt/apt-get.8.en.html
• manpages.debian.org/bookworm/debian-security-support/check-support-status.1.en.html
• debian.org/News/2026/20260712