Debsecan : Debian Security Analyzer

Debian Security Analyzer, est un outil très pratique, découvert assez récemment.

Ce dernier génère simplement une liste des vulnérabilités affectant une installation donnée, à ce titre il est complémentaire d’apt-listbugs.

Par défaut à l’installation, les rapports quotidiens par mails, sont activés pour une installation générique.

Ce comportement se modifie via le fichier /etc/default/debsecan:

# Configuration file for debsecan. Contents of this file should
# adhere to the KEY=VALUE shell syntax. This file may be edited by
# debsecan's scripts, but your modifications are preserved.

# If true, enable daily reports, sent by email.
REPORT=true

# For better reporting, specify the correct suite here, using the code
# name (that is, "sid" instead of "unstable").
#
# Available:
# GENERIC
# etch
# lenny
# sid
# squeeze
# wheezy
SUITE=GENERIC

# Mail address to which reports are sent.
MAILTO=root

# Source URL
# eg: http://secure-testing.debian.net/debian-secure-testing/project/debsecan/release/1/$SUITE
SOURCE=

Le paramètre SUITE est le plus important: GENERIC liste toutes les CVEs pour toutes les versions, y compris celles qui ne vous affectent pas. En le passant à votre suite exacte (lsb_release -c), debsecan filtre par version et la liste devient actionnable.

En ligne de commande:

user@vhalholl:~$ debsecan --format detail --suite `lsb_release -c | cut -d ':' -f2` |more

Et pour compter les CVEs “remotely exploitable” (celles qui comptent):

user@vhalholl:~$ debsecan --suite `lsb_release -c | cut -d ':' -f2` |grep 'remotely exploitable' |wc -l

Et la ligne qui automatise le patch:

install $(debsecan --suite `lsb_release -c | cut -d ':' -f2` --only-fixed --format packages) -y -o APT::Get::Show-Installed=true

Cette dernière ligne extrait les paquets qui ont un fix disponible et les passe directement à apt-get install. C’est le patch management en une ligne et c’est la commande qui remplace la lecture manuelle des rapports quotidiens.

[edit: 2026] L’implémentation Ansible de tout ceci: le rôle unattended-upgrades .