Paquetes y repositorios, de dónde viene lo instalado

Cuando el escáner entra con una credencial, no adivina por banner: consulta al gestor de paquetes (dpkg en la familia Debian, rpm en la familia Red Hat) y obtiene el nombre y la versión de cada paquete instalado. Es más fiable que el escaneo de red, pero tiene un límite claro: solo ve lo que el gestor sabe. Un programa compilado a mano o un binario copiado a un directorio no figura en esa lista, y el escáner no puede decir nada de él.

Esa base de datos es también la que usa el equipo de sistemas para actualizar, así que lo que el escáner ve es lo mismo que verá el gestor cuando llegue una actualización.

Una versión tiene origen: la distribución, un espejo propio de la empresa, o el repositorio de un tercero. La orden apt-cache policy lo muestra: lista la versión instalada, la candidata y, para cada versión, el repositorio que la publica. La línea con tres asteriscos marca la instalada.

Abre apt-policy-libtrama1.txt en la carpeta de mdt-web04 y localiza la línea con los asteriscos. El repositorio aparece justo debajo, con su dirección.

Los repositorios de terceros se declaran, en Debian y Ubuntu, en archivos dentro de /etc/apt/sources.list.d/: uno por repositorio, con la extensión .list. Ese detalle importa al auditar, porque es el único rastro de que alguien decidió confiar en una fuente que no es la distribución. Leerlo es leer una decisión de quien administra el servidor.

Revisa la salida de apt-fuentes.txt, que lista las líneas deb del archivo principal y de ese directorio.

El hallazgo MDT-L-0101 compara la versión instalada con la corregida del autor original. Pero la versión instalada la publicó un tercero, y el rastreador de seguridad de la distribución solo habla de los paquetes de la propia distribución: no tiene entrada para una compilación ajena. Quien tiene la respuesta de qué contiene esa compilación es quien la publica.

Por eso este hallazgo no se puede cerrar ni como falso positivo ni como vulnerable solo con la tabla de la distribución. Hace falta la nota de cambios del tercero.