关于Ubuntu 20.04.6 LTS系统下Intel SSD工具及mdadm相关CVE漏洞修复更新的咨询

Hi Rob,

我先理清楚你的情况：你在Ubuntu 20.04.6 LTS上运行的mdadm版本是4.1-5ubuntu1.2，现在收到端点安全工具的告警，提示存在两个漏洞——CVE-2023-28736（高风险）和CVE-2023-28938（中风险），官方建议升级到mdadm 4.2-rc2或更高版本，但执行apt update后发现没有可用更新，想知道Ubuntu官方仓库会不会推送对应的修复包。

首先给你解释下Ubuntu LTS版本的软件更新逻辑：Ubuntu不会直接给LTS版本的软件包推送大版本升级（比如从4.1直接跳到4.2），而是采用**稳定版本更新（SRU）**的机制——把漏洞的修复补丁反向移植到当前仓库里的稳定版软件中，这样既能修复漏洞，又能保证系统的稳定性，不会因为大版本升级引入新的兼容性问题。

针对你的问题，给你几个实用建议：

• 先确保你启用了Ubuntu官方的main和universe仓库（20.04默认是开启的，但如果之前修改过源，可以检查/etc/apt/sources.list，或者执行sudo add-apt-repository main universe确保）
• 下次检查更新时，试试执行sudo apt update && sudo apt full-upgrade，full-upgrade会处理一些依赖关系的变化，有时候单纯的apt upgrade可能会漏掉部分更新
• 你可以通过Ubuntu官方的CVE追踪系统查询这两个漏洞的修复进度：搜索对应的CVE编号，如果状态显示“已修复”并且关联到了focal（Ubuntu 20.04的代号）的mdadm包，那说明补丁已经在仓库里，可能只是你所在的镜像源还没同步完成，多等几个小时再试试就行；如果还在处理中，那就是补丁还在排队进行稳定性测试，毕竟SRU的审核很严格，得确保修复漏洞的同时不影响系统正常运行
• 要是你等不及官方的SRU，也可以考虑两个临时方案：一是启用Ubuntu的backports仓库尝试获取更新版本，但backports的包稳定性测试可能没那么充分，需要谨慎使用；二是手动编译mdadm 4.2+的版本，但这种方式后续的更新维护得自己来，适合有一定Linux基础的用户

总的来说，像mdadm这种系统关键工具的高风险漏洞，Ubuntu官方通常会优先处理，只要你的系统用的是官方源，应该不用太久就能收到带补丁的更新。要是过了好几天还是没动静，可以用apt-cache policy mdadm看看当前可用的版本信息，或者去Ubuntu的Launchpad平台搜mdadm的包页面，看看有没有相关的更新记录。

Hope that helps!

备注：内容来源于stack exchange，提问作者Diktio