Et sikkerhetsproblem, eller en CVE, er en feil i kildekoden som kan brukes til å skade brukeren(e) og/eller systemet som er i bruk, noen ganger ved å misbruke bufferoverløp for å oppnå privilegiumsøkning, endre genererte byggeskript for å bruke SSH ved oppstart, eller til og med tukle med foreldet minne.
Det finnes mange pakker som gir ut oppdateringer som fikser sårbarheter, og noen pakker fikser CVE-er ganske ofte. SLFS vil av og til ha en oppdatering som oppgraderer en pakke som fikser en CVE. Det er viktig å alltid oppgradere pakker på systemet ditt som inneholder sikkerhetssårbarheter, og det finnes en måte å se etter disse oppdateringene.
For å se etter pakker som har fått en CVE rettet, gå til
SLFS issue page som har et filter aktivert (is:closed is:issue label:security). Alle
pakker som er oppført der, som har security etiketten er pakker som fikset en
CVE i versjonen som er oppført. Nyere versjoner vil være øverst på
listen. Når det er to versjoner av samme pakke, bruk alltid den som
vises først på listen, eller øverst på den. Nyere betyr ikke alltid
tryggere, og det kan noen ganger være nødvendig å bruke en eldre
versjon av en pakke, pluss kanskje en oppdatering eller to.
Vær oppmerksom på at pakkene som er oppført der, er problemer som allerede har blitt lukket og nå er i boken. Du kan gå til den åpne delen av siden for å se om det finnes pakker der som fortsatt har detaljer som er utarbeidet og som ennå ikke er fikset i boken. For folk flest er den lukkede delen av siden viktigst.
Når du har funnet en pakke av interesse, kan du gå til problemet for å se spesifikke CVE-er som ble fikset. Når du har gjennomgått saken, kan du bestemme om du vil oppdatere pakken som er oppført. Den sikreste versjonen er i boken, med mindre en versjon av den pakken er i den åpne delen av siden som er lenket ovenfor.