Backlog: security-ревью (fable) — 13 находок по приоритетам

2026-07-13 19:47:51 +03:00
parent f110cf7208
commit b60e55ec5e
15 changed files with 240 additions and 19 deletions
@@ -0,0 +1,13 @@
+# Включить автообновления безопасности
+
+**Приоритет:** средний
+
+`playbook-system.yml:35` — `security_autoupdate_enabled: "no"`: хост с открытыми в
+интернет 22/80/443/2222 получает патчи только при ручном запуске
+`playbook-upgrade.yml`, т.е. окна в недели между публикацией CVE и патчем
+openssh/libssl. Соразмерный фикс — включить unattended-upgrades только для
+security-репозитория (одна переменная роли), без автоматических перезагрузок.
+
+Из sec-ревью (fable, 2026-07-13).
+
+Связано: playbook-system.yml, galaxy.roles/geerlingguy.security, playbook-upgrade.yml.