Bonjour Sylvain,
(je réponds sur notre liste pour faciliter le suivi)
Merci pour le transfert. Je suis bien sur la liste VMIS, j'ai bien reçu
le mail original.
Ce nouveau process est une bonne nouvelle, ça permettra d'appliquer les
correctifs au plus vite. Nous ne ferons donc plus les mises à jour des
paquets de l'OS à la main, mais nous continuerons à intervenir
régulièrement pour mettre à jour les images Docker.
Bonne journée,
Andrés Maldonado
Code Lutin
On 01/06/2026 13:51, Sylvain PETEK wrote:
>
> Bonjour Andrés,
>
> Ci-dessous pour information, si tu ne l’avais pas déjà reçu.
>
> Bonne journée,
>
> Sylvain
>
> *De :* vmis-request(a)listes.ird.fr <vmis-request(a)listes.ird.fr> *De la
> part de* laurence.tronc(a)ird.fr
> *Envoyé :* lundi 1 juin 2026 12:10
> *À :* vmis(a)listes.ird.fr
> *Objet :* [vmis] IMPORTANT - Évolution des procédures de mises à jour
> et redémarrages automatiques
>
> */_A : porteurs de VM IS_/*
>
> */_IMPORTANT - Évolution des procédures de mises à jour et
> redémarrages automatiques_/*
>
> Bonjour,
>
> Depuis quelques temps, nous subissons une accélération des
> publications de failles de sécurité et d'attaques.
> Ce contexte nous impose un renforcement de stratégie, notamment sur
> les VM IS. Le déploiement de ces mesures est engagé :
>
> 1/ Failles à criticité urgente maximum :
> Notre hébergeur applique au plus tôt les correctifs nécessaires.
> Les installations peuvent se dérouler en journée, et être suivies d'un
> reboot si la correction de faille le nécessite (notamment mise à jour
> du noyau).
> Dès l'intervention effectuée, la notification vous est transmise, pour
> que vous puissiez vérifier le bon fonctionnement de vos services et
> applicatifs.
>
> 2/ Mises à jour de sécurité :
> Installation programmée des correctifs nécessaires chaque soir 7j/7 à
> 23h50.
> Un reboot est effectué si les corrections apportées le nécessitent.
> Un fichier de log est disponible sur votre VM :
> /var/log/dnf-automatic/reports/report_<date>.log
>
> 3/ Mises à jour OS et applicatives :
> Installation programmée des correctifs nécessaires chaque mercredi
> soir entre 20h30 et 22h00.
> Un reboot est effectué.
> Le journal est disponible sur votre VM via la commande "dnf history".
>
> 4/ Mise à jour des images docker :
> La sécurité et la mise à jour des images Docker utilisées dans vos
> environnements restent sous votre responsabilité.
> Des outils de scan de vulnérabilités peuvent vous assister dans cette
> tâche, par exemple Docker Desktop ou Trivy (note ci-dessous).
>
> Il est de votre responsabilité de vérifier régulièrement le bon
> fonctionnement de vos systèmes et applicatifs.
> Les VM disposent d'une sauvegarde glissante sur 30 jours, permettant
> de restaurer si un dysfonctionnement était observé.
> Si certains applicatifs nécessitent le maintien d’une version
> spécifique d’un paquet, nous pouvons ajouter ce paquet à une liste
> d’exceptions afin d’éviter sa mise à jour automatique.
>
> Nous vous remercions par avance de votre vigilance renforcée sur ces
> sujets de sécurité.
>
> Bien cordialement,
>
>
> Trivy :
> ----------
>
> Installation sur Redhat :
>
> $ sudo dnf update
>
> $ sudo tee /etc/yum.repos.d/trivy.repo << 'EOF'
> [trivy]
> name=Trivy repository
> baseurl=https://aquasecurity.github.io/trivy-repo/rpm/releases/$basearch/
> gpgcheck=1
> enabled=1
> gpgkey=https://aquasecurity.github.io/trivy-repo/rpm/public.key
> EOF
> $ sudo dnf update
> $ sudo dnf install trivy
> $ trivy --version
>
>
> Utilisation :
>
> 1/ Vérifier la taille de l'image (peut impacter la suite) :
> $ sudo docker images
>
> 2/ Scanner l'image (trivy met automatiquement à jour sa base au
> lancement, télécharge l'image si besoin, puis la scanne) :
> $ trivy image monrepo/monimage:latest
> │ Library │ Vulnerability │ Severity │
> Status │ Installed Version │ Fixed Version │
> Title │
> │ libssl3 │ CVE-2025-15467 │ CRITICAL │ fixed
> │ 3.0.17-1~deb12u1 │ 3.0.18-1~deb12u2 │ openssl: OpenSSL:
> Remote code execution or Denial of Service │
> │ openssl │ CVE-2025-15467 │ CRITICAL │ fixed
> │ 3.0.17-1~deb12u1 │ 3.0.18-1~deb12u2 │ openssl: OpenSSL:
> Remote code execution or Denial of Service │
>
> --
> Laurence Tronc
> Ingénieur système en appui aux outils scientifiques
> Direction pour le Développement des Usages Numériques Innovants
> IRD - Institut de Recherche pour le Développement
> +33 4 34 11 44 45
