Leer un hallazgo de Linux, campo por campo

El primer paso es copiar bien lo que el escáner afirma, sin interpretarlo. El campo «Versión instalada» es lo que el gestor de paquetes del servidor dijo, con su sufijo de empaquetado completo; no se resume ni se recorta, porque el sufijo es justo lo que distingue una versión corregida por la distribución de otra que no lo está.

Abre hallazgo.txt del hallazgo MDT-L-0601.

Dos campos del hallazgo cuentan cómo se llegó al resultado: «Comparado contra» y «Método de detección». El primero dice si la versión corregida es la del autor original o la de la distribución; el segundo, si el escáner entró al servidor o dedujo por la red. Con ambos se sabe cuánto crédito merece el resultado.

La versión corregida que vale para un servidor es la de su release, y la dice el rastreador de seguridad de la distribución. Si el servidor es de Ubuntu 22.04, la fila relevante es la de esa versión, no la de 24.04, que es otra distribución con otros números. Equivocarse de fila es un error frecuente al copiar de un rastreador.

Abre rastreador-ubuntu.txt y elige la fila del release de este servidor (Ubuntu 22.04, según el registro de cambios jammy).

Con la versión instalada, la corregida del rastreador y el registro de cambios, el hallazgo se clasifica. Hay cuatro respuestas posibles: vulnerable confirmado, falso positivo, corregido pendiente de reinicio y riesgo aceptado. Aquí la versión instalada es mayor que la corregida de la distribución, y el registro de cambios demuestra que el retroporte existe; la ficha del activo dice que no hay servicios pendientes de reinicio.

Un cierre como falso positivo sin evidencia es un cierre que nadie puede comprobar. El texto del ticket debe permitir a otra persona repetir el razonamiento: la versión instalada, la versión corregida de la distribución con la fuente, la prueba del retroporte y la fecha. Ni una frase de seguridad («revisado, está bien») ni un volcado de todo el registro de cambios.