How do i know that 2ubuntu3.9 has the latest security patches
Questo non è un semplice. Non tutte le vulnerabilità elencate su la pagina di sicurezza di Apache sono rilevanti per la versione fornita con Ubuntu. Ubuntu spedisce la versione 2.4.18 con patch backport che considerano rilevanti.
Il punto di partenza per vedere cosa è stato corretto sarebbe il Changelog e confrontalo con l'elenco di bug pubblicato da Apache.
Tuttavia, che un CVE non è stato trovato nel Changelog non significa che la versione fornita sia vulnerabile contro questo. Ad esempio CVE-2018-8011 è considerato che interessa solo Apache 2.4.33 e non la versione 2.4.18 fornita con xenial . Simili le informazioni su CVE-2018-1333 e CVE-2018-11763 indica che il codice specifico in cui la vulnerabilità non è inclusa nella versione fornita con xenial ( "non interessato (codice non creato)" ).
Quindi, per sapere se una vulnerabilità specifica è ancora un problema con la versione spedita, devi scavare nel Changelog e se non trovi il CVE lì devi controllare perché non è stato corretto, cioè probabilmente perché non ha influito sulla versione spedita.
How do i know if my ubuntu apache version is secure?
L'idea di base di questa domanda è in qualche modo sbagliata. Il fatto che alcuni software non siano vulnerabili a CVE noti non significa che sia sicuro. Se si scoprono nuove vulnerabilità, il software non diventa magicamente insicuro finché il CVE non viene risolto: prima non era sicuro, ma i nuovi problemi rilevati non erano ancora ampiamente conosciuti.
Ci sono diversi fattori da considerare per determinare se un software è sufficientemente sicuro per uno scopo specifico. Uno è probabilmente il track record del software: il software che è ampiamente utilizzato ma aveva solo problemi di bassa severità in passato è probabilmente più affidabile rispetto al software che ha avuto un sacco di problemi gravi in passato, anche se tutti i problemi noti sembrano essere risolti conoscere. Ad esempio, non mi fiderei sicuramente di Flash neanche dopo l'ultima patch di sicurezza, ma mi aspetto che il prossimo numero venga visualizzato entro poche settimane (di solito lo fa) e che gli hacker conoscono e già utilizzano problemi non ancora pubblicati.
Per mantenere basso il rischio (e gestito) è anche rilevante l'impatto che potrebbero avere problemi di sicurezza nel software. Limitare l'impatto potenziale utilizzando il software solo per cose non importanti potrebbe limitare il rischio, così come mitigare potenziali problemi eseguendo il software con bassi privilegi, monitorando attività sospette, ecc.