Backport nedir?
Backport, yeni bir yazılım sürümünde yapılmış bir düzeltmenin, özellikle güvenlik yamasının, eski sürüme uyarlanarak geri taşınmasıdır. Böylece kullanıcılar tüm yeni özellikleri içeren büyük bir sürüm yükseltmesi yapmadan, mevcut sürümlerinde açığı kapatabilir.
Kurumsal Linux dağıtımları bu yöntemi yaygın biçimde kullanır; amaç, sistemin davranışını bozmadan yalnızca gerekli düzeltmeyi uygulamaktır.
Nasıl çalışır?
Geliştiriciler yukarı akıştaki (upstream) projede bir açık düzeltildiğinde, dağıtımın sürdürdüğü eski sürüm için aynı düzeltmeyi ilgili koda uyarlar. Paketin sürüm numarası çoğunlukla aynı kalır, ancak paketin içindeki yama seviyesi (release numarası) artar.
Bu nedenle paketin ana sürüm numarasına bakarak açığın kapanıp kapanmadığını anlamak yanıltıcı olabilir. Kesin bilgi için dağıtımın güvenlik bültenine veya paket değişiklik kaydına (changelog) bakılır.
Sunucu ve hosting ortamında
Güvenlik tarayıcıları bazen yalnızca yazılımın sürüm bilgisine bakarak açığın var olduğunu raporlar. Backport uygulanmış bir pakette sürüm numarası eski görünse de açık kapatılmış olabilir. Bu durum PHP, OpenSSL veya Apache gibi paketlerde sıkça yanlış pozitif sonuca yol açar.
Bir tarama raporunda eski sürüm uyarısı görürseniz önce dağıtımın ilgili CVE kaydına ve paketin changelog dosyasına bakın.
Nelere dikkat edilmeli?
- Güvenlik raporlarını değerlendirirken yalnızca sürüm numarasına değil, dağıtımın güvenlik bültenine de bakın.
- Paket changelog dosyasında ilgili CVE numarasının geçip geçmediğini kontrol edin.