Duvida sobre alerta do nessus?

[Hacinn]

Olá a todos,

Sou iniciante no Nessus e após executá-lo em um servidor, ele me mostrou um mensagem avisando que estou rodando um pacote que não é a mais recente e que esta versão contém um bug de segurança. O servidor roda Conectiva 9 e fiz a atualização com o apt, que diz que não há pacotes a serem atualizados.
Verifiquei o pacote que o nessus está acusando e realmente está uma versão antes da lançada pelo desenvolvedores do pacote.
O que isso significa, meu servidor está vulnerável, mesmo estando atualizado ou posso ficar mesmo preocupado com isso?
Quando é descoberto algum bug de segurança, qual o melhor caminho, rodar o apt e atualizar com os pacotes da conectiva, ou baixar o pacote do site do desenvolvedor e sobrescrever o da conectiva?

Desde já obrigado.

[1c3m4n]

as vezes o nessus e outros sistemas alertam oq chamamos de "falso-positivos" ou seja ele diz que contem uma falha mas na verdade ela nao existe, se vc verificou que o pacote realmente eh o + recente nao se preocupe

[Hacinn]

O problema é justamente esse. O site do desenvolvedor informa que a ultima versão do pacote é a 4.7. A versão que está instalada no meu conectiva é 4.5. E o nessus diz que o idel é ter a versão 6.1 ou superior instalada. Só que executo o apt-get nos servidores da conectiva e não tem mais atualizações a fazer. Será que o pacote 4.5 que está instalado foi corrigido pela Conectiva?

Obrigado pela ajuda

[1c3m4n]

num se baseie mto em " numero versao" leia o changelog desse pacote na conectiva... pq a conectiva customiza os pacotes dela, ou seja pode ser q a falha apresentada nao afete os seus pacotes

[Hacinn]

Não consegui achar o changelog no site da conectiva. Tem algum endereço específico?

Obrigado mais uma vez.

[1c3m4n]

da uma olhada aki q deve ter alguma coisa
http://distro.conectiva.com.br/atualizacoes/

[Hacinn]

É nesse endereço mesmo que ja tinha procurado e não tem nenhum changelog.

[nafre]

Qual o pacote que ele está alertando?


Aconselho a vc atualizar pela pagina do desenvolvedor
ou entrar em contato com algum mainlist da conectiva
para procurar informações..

Abraços []´s

[Hacinn]

Hum, acho que comecei a entender.
No relatorio do nessus, há um código CVE como referencia.

Entrei no site da conectiva e consta uma atualização para o pacote que faz referencia na seção Solução para o mesmo código CVE do nessus.

Ou seja, pelo que eu entendi, essas atualização corrige o problema reportado pelo nessus. É isso?

Obrigado pela ajuda de todos.

[nafre]

Sim.

É so atualizar!