Actualizări de securitate ale OS

PlusPanel OS este sistemul de operare pe care rulează fiecare server PlusPanel. Îl întreținem centralizat: nu îl actualizezi niciodată tu. Remedierile de securitate ajung pe serverele tale ca imagini noi, semnate, aplicate atomic și care pot fi anulate.

Ce urmărim

În fiecare zi comparăm lista exactă de pachete a imaginilor PlusPanel OS pe care le livrăm (lista lor semnată de componente software, SBOM) cu:

avizele de securitate AlmaLinux, distribuția din care este construit PlusPanel OS, și
baza de date de vulnerabilități Trivy, care acoperă și dependențele Go ale agentului PlusPanel.

Agentul PlusPanel și registrul nostru de distribuție sunt scanate zilnic și cu govulncheck.

Actualizări expres și de rutină

Clasă	Ce înseamnă	Țintă
Expres	Există o remediere pentru o vulnerabilitate critică sau ridicată (AlmaLinux: Critical sau Important) din imagine	o imagine nouă, semnată, pe Preview în 48 de ore de la apariția remedierii în amonte pentru problemele critice, 5 zile pentru cele ridicate
De rutină	Remedieri pentru vulnerabilități medii și scăzute, actualizări de pachete, reîmprospătări ale bazei	versiunea lunară (la început de lună)
Urmărită	O vulnerabilitate pentru care încă nu există remediere în amonte	livrată în prima versiune de după apariția remedierii

„Disponibilă în amonte” înseamnă publicată de AlmaLinux în erratele sale și în imaginea de bază AlmaLinux bootc. Dacă o vulnerabilitate nu poate fi atinsă în PlusPanel OS (de exemplu, funcția vulnerabilă nu există), putem înregistra o excepție revizuită și limitată în timp; excepțiile expiră după cel mult 90 de zile și sunt revizuite la fiecare versiune lunară.

Canale

Preview · Acces anticipat primește fiecare imagine nouă întâi, inclusiv imaginile de securitate expres, după ce a trecut de verificările noastre.
Stable · Producție (implicit) primește o imagine după ce a fost validată pe Preview, printr-o lansare în etape: serverele noastre, un inel canary de 2 %, apoi valuri de 10 %, 50 % și 100 %, fiecare inel doar după ce precedentul a rămas sănătos, în fereastra de mentenanță a fiecărui server, cu revenire automată a unui server ale cărui verificări de sănătate pică (și oprirea lansării).
Imaginile de securitate expres folosesc aceleași inele și aceleași verificări de sănătate, cu perioade de observare mai scurte și o notificare a clienților cu o oră înainte; nicio verificare nu este sărită.

Alegi canalul pentru fiecare server în panou sau unul implicit pentru organizație. Detalii: Cum funcționează actualizările.

Prin ce trece fiecare imagine

Înainte să ajungă pe Preview, o imagine trebuie:

să fie construită din surse fixate (imaginea de bază după digest, agentul după versiune);
să nu aibă nicio vulnerabilitate ridicată sau critică remediabilă, cu excepția celor revizuite;
să treacă testele smoke ale imaginii, un test de pornire în container și un test de pornire într-o mașină virtuală;
să pornească drept server nou din propria imagine de instalare în laboratorul nostru, să se înroleze în control plane-ul nostru și să ruleze un job semnat;
să fie semnată, cu SBOM-urile ei (SPDX și CycloneDX) și proveniența build-ului (SLSA) atașate ca atestări semnate.

Ce verifică serverul tău

Un server PlusPanel se instalează sau se actualizează doar la o imagine semnată cu cheia de lansare PlusPanel pentru exact acea imagine și care are un SBOM semnat pentru exact acea imagine. Agentul refuză orice altceva înainte de a descărca, la fel și instalatorul când convertește un server existent. Sistemul care rulează nu este atins niciodată de o actualizare refuzată.

Flux care poate fi citit automat

Versiunea curentă a fiecărui canal și vulnerabilitățile închise de fiecare versiune sunt publicate ca JSON la https://pluspanel.net/security/os-updates.json. Jurnalul de modificări listează aceleași versiuni în cuvinte simple.

Raportarea unei vulnerabilități

Scrie la ops@pluspanel.net cu „security” în subiect. Te rugăm să nu deschizi issue-uri publice pentru vulnerabilități.