نگرانی توسعه‌دهندگان در گیت‌هاب: تأخیر در انتشار به‌روزرسانی امنیتی PHP برای Amazon Linux 2023 — AWS rates PHP RCE as Important so Amazon Linux 2023 patch may take 20 days
خلاصه
توسعه‌دهندگان در ریپازیتوری Amazon Linux 2023 خواستار انتشار سریع‌تر بسته‌های امنیتی بحرانی PHP شدند. این بحث چالش‌های زمان‌بندی عرضه‌ی پچ‌ها در توزیع‌های سازمانی لینوکس را برجسته می‌کند.
ماجرای بحث و گفتگو در گیت‌هاب
اخیراً در یکی از مسائل (Issue) ثبت‌شده در ریپازیتوری رسمی Amazon Linux 2023، جامعه‌ی توسعه‌دهندگان PHP به شدت پیگیر انتشار به‌روزرسانی‌های امنیتی جدید برای آسیب‌پذیری‌های بحرانی PHP شده‌اند. با انتشار پچ‌های حیاتی توسط تیم PHP، کاربران متوجه شدند که این تغییرات هنوز راهی به بسته‌های dnf در سیستم‌عامل انحصاری آمازون پیدا نکرده است.
بسیاری از توسعه‌دهندگان با گلایه از زمان‌بندی پاسخگویی پشتیبانی آمازون، به این موضوع اشاره کردند که با وجود درجه اهمیت بالای این آسیب‌پذیری‌ها، دریافت پاسخ‌های مبهم از تیم پشتیبانی مبنی بر عدم وجود زمان‌بندی دقیق (ETA) برای انتشار پچ، نارضایتی ایجاد کرده است. برخی کاربران نیز با طنز اشاره کردند که کل جامعه‌ی PHP در حال «چادر زدن» در ریپازیتوری‌های مرتبط برای دریافت نسخه‌های امن هستند، در حالی که آمازون پچ کردن سرویس‌های مدیریت‌شده‌ای مثل Elastic Beastonalk را در اولویت قرار داده است.
درباره Amazon Linux 2023
سیستم‌عامل Amazon Linux 2023 (AL2023) نسل بعدی سیستم‌عامل ابری آمازون است که به طور ویژه برای اجرا روی پلتفرم AWS بهینه‌سازی شده است. این توزیع لینوکس به عنوان محیطی پایدار و با عملکرد بالا برای اجرای برنامه‌های ابری شناخته می‌شود.
- ریشه و بسته‌بندی: این توزیع بر اساس Fedora توسعه یافته و بسته‌های نرم‌افزاری آن از طریق مخازن اختصاصی مدیریت می‌شوند.
- امنیت: به‌طور پیش‌فرض از سیاست‌های امنیتی SELinux و قابلیت‌های سخت‌کننده کرنل (Kernel Hardening) پشتیبانی می‌کند.
- ثبات مخازن: یکی از ویژگی‌های کلیدی AL2023 قابلیت قفل کردن مخزن (Repository Locking) است که به تیم‌های مهندسی اجازه می‌دهد نسخه‌های دقیق بسته‌ها را کنترل کنند و بدون غافلگیری آپدیت‌ها را اعمال نمایند.
در یک نگاه
- پروژه: Amazon Linux 2023
- سازنده: شرکت آمازون (تیم AWS)
- زبان اصلی: HTML و ابزارهای سیستمی لینوکس
- معماری‌های پشتیبانی‌شده: x86_64 و aarch64 (بر پایه پردازنده‌های Graviton)
- پلتفرم مبنا: Fedora
چرا این مسئله برای مهندسان مهم است؟
برای تیم‌های نرم‌افزاری که زیرساخت خود را روی اکوسیستم AWS و Amazon Linux 2023 بنا کرده‌اند، زمان‌بندی عرضه‌ی پچ‌های امنیتی اهمیت حیاتی دارد. هنگامی که آسیب‌پذیری‌های نوع RCE (اجرای کد از راه دور) در زبان‌های برنامه‌نویسی پرکاربردی مثل PHP کشف می‌شوند، هر روز تأخیر در انتشار پچ‌های سیستم‌عامل می‌تواند برنامه‌ها را در معرض خطر قرار دهد. این موضوع اهمیت داشتن استراتژی‌های مدیریت پچ، مانیتورینگ دقیق مشاوره‌های امنیتی آمازون (ALAS) و آگاهی از تفاوت میان زمان انتشار پچ بالادستی (Upstream) و بسته‌بندی نهایی در توزیع‌های سازمانی را یادآوری می‌کند.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل