Retroportes y números de versión

Un fallo se corrige en la versión del autor original, pongamos que en la 2.4.12. La distribución que mantiene la 2.4.9 en una versión estable no quiere cambiar de versión mayor: podría romper programas que dependen de ella. En su lugar toma el parche y lo aplica sobre la 2.4.9. Eso es un retroporte (en inglés, backport). El paquete resultante sigue diciendo 2.4.9, pero con un sufijo de empaquetado: en Debian, +debNNuM (la actualización M de seguridad de la versión NN de Debian); en Ubuntu, ubuntu0.N; en la familia Red Hat, un número de lanzamiento como -N.elN_M.

Un escáner que solo compara 2.4.9 con 2.4.12 marca como vulnerable un paquete que ya está corregido. Un escáner que conoce la distribución compara contra la versión corregida de esa distribución, que es la que figura en su rastreador de seguridad.

La fuente que decide es el rastreador de seguridad de la distribución, que para cada CVE y cada release dice la versión desde la cual el paquete está corregido. No importa la versión del autor original: importa la del paquete de tu release. Si la versión instalada es igual o mayor que esa, el hallazgo del escáner es un falso positivo por retroporte.

Abre rastreador-de-seguridad.txt y busca la fila de Debian 12 para este CVE.

Las versiones de paquete no se comparan como texto: se descomponen en partes y se comparan los números como números. Por eso una revisión u10 es posterior a u9, aunque como cadena de texto «u9» quede después de «u10». Cada gestor tiene su propia comparación (en Debian la hace dpkg --compare-versions; en RPM, la rutina de comparación de versiones de la familia), y los escáneres que se equivocan lo hacen casi siempre aquí.

Aplícalo: una versión instalada con revisión 10 frente a una corregida con revisión 9.

La tabla del rastreador dice cuál es la versión corregida; el registro de cambios del paquete (apt changelog en Debian y Ubuntu, rpm -q --changelog en la familia Red Hat) demuestra que esa versión contiene el parche. Es la prueba que se adjunta al cierre de un falso positivo.

Ahora el trabajo completo: tres hallazgos del escáner sobre el mismo CVE. Compara la versión detectada de cada servidor con la corregida de su distribución, y lee los dos registros de cambios para confirmar que el retroporte existe.