OSとすべてのパッケージを最新の状態に保つことは、常にベストプラクティスです。 Arch Linuxはローリングリリースであるため、Archユーザーは、他の固定リリースディストリビューションよりも数日ごとに修正とソフトウェアアップデートを入手できます。ただし、インターネットデータが不十分なために、ユーザーがArchシステムを更新できない場合や、システムのアップグレードに怠惰な場合、またはシステムが破損する可能性があることを恐れて更新を使用したくない場合があります。 Arch Linuxを頻繁に更新しない場合は、脆弱性を時々チェックする必要があります。したがって、リスクの高い脆弱性がある場合は、すぐにシステムを更新できます。ここでArch-audit ツールが便利です。 ArchLinuxとその派生物であるManjaroLinuxなどの脆弱なパッケージを見つけるのに役立ちます。

Arch-auditは、Arch CVE（ C ）に基づくpkg-auditのようなユーティリティです。オモンV 脆弱性とE xposures）監視チームのデータ。 Arch CVEモニタリングチーム（ACMT）は、ArchLinuxのセキュリティの脆弱性を含むパッケージの特定と通知を支援するボランティアのグループです。 ACMTの主な目的は、すべてのパッケージのバグを見つけ、脆弱性がある場合は開発者に通知することです。 arch-auditユーティリティは、それ自体では脆弱性を検出しないことに注意してください。 https://security.archlinux.org/を解析するだけです。ページを表示し、結果をターミナルに表示します。誤った結果とは何の関係もありません。

この簡単なチュートリアルでは、Arch-auditユーティリティを使用してArchLinuxで脆弱なパッケージを見つける方法を説明します。

Arch-auditを使用してArchLinuxの脆弱なパッケージを見つける

arch-auditは、コミュニティリポジトリで利用できます。したがって、 pacmanを使用してインストールできます以下に示すように。

$ sudo pacman -S arch-audit

インストールしたら、次のコマンドを実行して脆弱なパッケージを見つけます。

$ arch-audit

出力例：

Package binutils is affected by CVE-2017-17126, CVE-2017-17125, CVE-2017-17124, CVE-2017-17123, CVE-2017-17122, CVE-2017-15996, CVE-2017-15025, CVE-2017-15024, CVE-2017-15023, CVE-2017-15022, CVE-2017-15021, CVE-2017-15020. High risk!
Package cairo is affected by CVE-2017-7475. Low risk!
Package emacs is affected by CVE-2017-1000383. Medium risk!
Package exiv2 is affected by CVE-2017-11592, CVE-2017-11591, CVE-2017-11553, CVE-2017-17725, CVE-2017-17724, CVE-2017-17723, CVE-2017-17722. Medium risk!
Package lib32-libxml2 is affected by CVE-2018-9251. Medium risk!
Package libffi is affected by CVE-2017-1000376. High risk!
Package libxml2 is affected by CVE-2018-9251. Medium risk!
Package linux is affected by CVE-2018-3646, CVE-2018-3620, CVE-2018-3615, CVE-2018-8897, CVE-2017-5753, CVE-2017-5715, CVE-2018-1121, CVE-2018-1120. High risk!
Package openssh is affected by CVE-2018-15473. Medium risk!
Package patch is affected by CVE-2018-6952, CVE-2018-6951, CVE-2018-1000156. High risk!
Package pcre is affected by CVE-2017-11164. Low risk!
Package podofo is affected by CVE-2017-7994, CVE-2017-7383, CVE-2017-7382, CVE-2017-7381, CVE-2017-7380, CVE-2017-7379, CVE-2017-7378, CVE-2017-6842, CVE-2017-6841, CVE-2017-6840. High risk!
Package systemd is affected by CVE-2018-6954. Medium risk!
Package unzip is affected by CVE-2018-1000035. Medium risk!
Package zsh is affected by CVE-2018-13259, CVE-2018-0502. Low risk!

上記の出力でお気づきのように、リスクが低、中、高のパッケージが多数あります。

脆弱なパッケージ名とそのバージョンのみを表示するには、 -qを使用します以下に示すフラグ：

$ arch-audit -q
binutils
cairo
emacs
exiv2
lib32-libxml2
libffi
libxml2
linux
openssh
patch
pcre
podofo
systemd
unzip
zsh

すでに修正されているパッケージのみを表示するには、 -uを使用しますフラグ：

$ arch-audit -qu
bluez>=5.46-2
chromium>=61.0.3163.79-1
curl>=7.55-1
ffmpeg>=1:3.3.4-1
ffmpeg2.8>=2.8.13-1
flashplugin>=26.0.0.151-1
lib32-expat>=2.2.2-1
lib32-libgcrypt>=1.8.1-1
libgcrypt>=1.8.1-1
libsoup>=2.58.2-1
linux>=4.12.13-1
newsbeuter>=2.9-7
webkit2gtk>=2.16.6-1
xorg-server>=1.19.3-3

上記のパッケージは、開発者によってすでに修正されています。

リスクの高いパッケージとリスクの高いパッケージをできるだけ早く更新する必要があります。ただし、次のコマンドを実行するだけで、すべてを更新することをお勧めします。

$ sudo pacman -Syu

arch-auditの詳細については、manページを参照してください。

$ man arch-audit