Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Kernel Live está parcheando AL2

La aplicación de parches en tiempo real para el kernel AL2 permite aplicar parches específicos para vulnerabilidades de seguridad y errores críticos a un núcleo de Linux en ejecución, sin necesidad de reiniciar ni interrumpir las aplicaciones en ejecución. Esto le permite beneficiarse de una mayor disponibilidad de los servicios y las aplicaciones y, al mismo tiempo, aplicar estas correcciones hasta que se pueda reiniciar el sistema.

Para obtener información acerca de los parches en vivo del núcleo para la versión AL2 023, consulte los parches en directo del núcleo para la versión AL2 023 de la Guía del usuario de Amazon Linux 2023.

AWS publica dos tipos de parches activos del kernel para: AL2

AWS proporciona parches activos del núcleo para una versión AL2 del núcleo durante un máximo de 3 meses después de su publicación. Después del período de 3 meses, debe actualizar a una versión posterior del kernel para continuar recibiendo parches activos de kernel.

AL2 los parches activos del núcleo están disponibles como paquetes RPM firmados en los AL2 repositorios existentes. Los parches se pueden instalar en instancias individuales mediante los flujos de trabajo de yum existentes, o se pueden instalar en un grupo de instancias gestionadas mediante AWS Systems Manager.

Kernel Live Patching on AL2 se proporciona sin coste adicional.

Configuraciones admitidas y requisitos previos

Kernel Live Patching es compatible con las EC2 instancias de Amazon y las máquinas virtuales locales que se estén ejecutando. AL2

Para usar Kernel Live Patching AL2, debe usar:

Requisitos de política

Para descargar paquetes de los repositorios de Amazon Linux, Amazon EC2 necesita acceder a los buckets de Amazon S3 propiedad del servicio. Si utiliza un punto de conexión de Amazon Virtual Private Cloud (VPC) para Amazon S3 en su entorno, debe asegurarse de que su política de punto de conexión de VPC permita el acceso a esos buckets públicos.

En la tabla se describe cada uno de los buckets de Amazon S3 a los que EC2 podría ser necesario acceder para aplicar parches en directo al núcleo.

La siguiente política ilustra cómo restringir el acceso a las identidades y los recursos que pertenecen a su organización y proporcionar acceso a los buckets de Amazon S3 necesarios para Kernel Live Patching. Sustituya region principal-org-id y por resource-org-id los valores de su organización.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

Usar Kernel Live Patching

Puede habilitar y usar Kernel Live Patching en instancias individuales mediante la línea de comandos de la propia instancia, o puede habilitar y usar Kernel Live Patching en un grupo de instancias administradas mediante AWS Systems Manager.

En las siguientes secciones se explica cómo habilitar y usar Kernel Live Patching en instancias individuales mediante la línea de comandos.

Para obtener más información sobre cómo habilitar y usar los parches dinámicos del núcleo en un grupo de instancias administradas, consulte el tema sobre cómo usar los parches automáticos del núcleo en las AL2 instancias de la Guía del usuario.AWS Systems Manager

Habilitar Kernel Live Patching

La aplicación de parches en tiempo real del núcleo está desactivada de forma predeterminada. AL2 Para usar parches activos, debe instalar el complemento yum de Kernel Live Patching y habilitar la funcionalidad de parches en vivo.

Requisitos previos

Kernel Live Patching requiere binutils. Si no tiene binutils instalado, instálelo con el siguiente comando:

$ sudo yum install binutils

Visualizar los parches activos disponibles del kernel

Las alertas de seguridad de Amazon Linux se publican en el Centro de seguridad de Amazon Linux. Para obtener más información sobre las alertas de AL2 seguridad, que incluyen alertas de parches activos del kernel, consulte el Centro de seguridad de Amazon Linux. Los parches activos del kernel tienen el prefijo ALASLIVEPATCH. Es posible que el Centro de seguridad de Amazon Linux no incluya revisiones activas del kernel que resuelven errores.

También puede encontrar los parches activos del kernel disponibles para obtener avisos y CVEs usar la línea de comandos.

Para enumerar todos los parches activos del kernel disponibles para avisos.

Utilice el siguiente comando.

$ yum updateinfo list

A continuación se muestra un resultado de ejemplo.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Para ver una lista de todos los parches activos del núcleo disponibles para CVEs

Utilice el siguiente comando.

$ yum updateinfo list cves

A continuación se muestra un ejemplo de salida.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Aplicar parches activos del kernel

Aplicar parches activos del kernel usando el administrador de paquetes yum de la misma manera que aplicaría actualizaciones regulares. El complemento yum para Kernel Live Patching administra los parches activos del kernel que están disponibles para su aplicación.

Puede optar por aplicar un parche activo específico del kernel o aplicar cualquier parche activo del kernel disponible junto con las actualizaciones de seguridad regulares.

Para aplicar los parches activos del kernel disponibles junto con las actualizaciones de seguridad regulares

Utilice el siguiente comando.

$ sudo yum update --security

Omita la opción --security para incluir correcciones de errores.

Ver los parches activos del kernel aplicados

Para ver los parches activos del kernel aplicados

Utilice el siguiente comando.

$ kpatch list

El comando devuelve una lista de los parches activos del kernel de actualización de seguridad cargados e instalados. A continuación, se muestra un ejemplo del resultado.

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

Deshabilitar Kernel Live Patching

Si ya no necesita utilizar Kernel Live Patching, puede desactivarlo en cualquier momento.

Limitaciones

Kernel Live Patching tiene las siguientes limitaciones:

Preguntas frecuentes

Para ver las preguntas más frecuentes sobre los parches en vivo del núcleo AL2, consulte las Preguntas frecuentes sobre los parches en vivo del núcleo de Amazon Linux 2.