Duvida sobre alerta do nessus?
Olá a todos,
Sou iniciante no Nessus e após executá-lo em um servidor, ele me mostrou um mensagem avisando que estou rodando um pacote que não é a mais recente e que esta versão contém um bug de segurança. O servidor roda Conectiva 9 e fiz a atualização com o apt, que diz que não há pacotes a serem atualizados.
Verifiquei o pacote que o nessus está acusando e realmente está uma versão antes da lançada pelo desenvolvedores do pacote.
O que isso significa, meu servidor está vulnerável, mesmo estando atualizado ou posso ficar mesmo preocupado com isso?
Quando é descoberto algum bug de segurança, qual o melhor caminho, rodar o apt e atualizar com os pacotes da conectiva, ou baixar o pacote do site do desenvolvedor e sobrescrever o da conectiva?
Desde já obrigado.
Duvida sobre alerta do nessus?
as vezes o nessus e outros sistemas alertam oq chamamos de "falso-positivos" ou seja ele diz que contem uma falha mas na verdade ela nao existe, se vc verificou que o pacote realmente eh o + recente nao se preocupe
Duvida sobre alerta do nessus?
O problema é justamente esse. O site do desenvolvedor informa que a ultima versão do pacote é a 4.7. A versão que está instalada no meu conectiva é 4.5. E o nessus diz que o idel é ter a versão 6.1 ou superior instalada. Só que executo o apt-get nos servidores da conectiva e não tem mais atualizações a fazer. Será que o pacote 4.5 que está instalado foi corrigido pela Conectiva?
Obrigado pela ajuda
Duvida sobre alerta do nessus?
num se baseie mto em " numero versao" leia o changelog desse pacote na conectiva... pq a conectiva customiza os pacotes dela, ou seja pode ser q a falha apresentada nao afete os seus pacotes
Duvida sobre alerta do nessus?
Não consegui achar o changelog no site da conectiva. Tem algum endereço específico?
Obrigado mais uma vez.
Duvida sobre alerta do nessus?
Duvida sobre alerta do nessus?
É nesse endereço mesmo que ja tinha procurado e não tem nenhum changelog.
Duvida sobre alerta do nessus?
Qual o pacote que ele está alertando?
Aconselho a vc atualizar pela pagina do desenvolvedor
ou entrar em contato com algum mainlist da conectiva
para procurar informações..
Abraços []´s
Duvida sobre alerta do nessus?
Hum, acho que comecei a entender.
No relatorio do nessus, há um código CVE como referencia.
Entrei no site da conectiva e consta uma atualização para o pacote que faz referencia na seção Solução para o mesmo código CVE do nessus.
Ou seja, pelo que eu entendi, essas atualização corrige o problema reportado pelo nessus. É isso?
Obrigado pela ajuda de todos.
Duvida sobre alerta do nessus?