Canonical впервые добавила поддержку Livepatch для устройств Arm64, позволяя системам Ubuntu на Arm-архитектуре применять критически важные обновления безопасности ядра без полной перезагрузки.

Livepatch — одна из самых недооценённых функций безопасности Ubuntu. По умолчанию она не включена и требует подписки Ubuntu Pro, но позволяет применять обновления безопасности ядра прямо в памяти, пока система работает. Обычно для этого нужна перезагрузка.

Это особенно удобно, если вы не хотите прерывать выполняющуюся задачу или рабочую нагрузку.

Теперь Livepatch доступен на Ubuntu 26.04 LTS и Ubuntu Core 26, впервые работающих на устройствах Arm64. Заставить всё это работать было непросто.

«Живое» исправление требует от ядра понимания, когда безопасно заменить работающий код на исправленную версию. Оно опирается на трассировку стека, поддержка которой для arm64 оставляла желать лучшего. Инструментарий для сборки и сравнения патчей на arm64 также был недостаточно развит.

Потребовалось многолетнее сотрудничество Canonical с мейнтейнерами ядра, производителями оборудования и гиперскейлерами, чтобы достичь этой точки.

Можно ли использовать Livepatch на Ubuntu для Raspberry Pi?

Если вы используете Ubuntu 26.04 LTS для Raspberry Pi, Livepatch вам будет недоступен.

Сборки Ubuntu для Pi используют ядро linux-raspi, а этот вариант ядра не входит в список поддерживаемых Livepatch на её сайте.

Варианты ядра arm64, которые поддерживаются: aws, azure, fips, gcp, generic, gke, ibm, lowlatency и oracle.

Livepatch нужен на серверах на Arm, в облачных средах и на постоянно работающем оборудовании. Он позволяет исправлять критические и высокосерьёзные уязвимости CVE, для которых обычно требуется внеплановая перезагрузка, без простоев.

“Это улучшение укрепит безопасность систем, не обслуживаемых ежедневно или еженедельно, и даст операционное преимущество компаниям, работающим над соблюдением Закона о киберустойчивости (CRA)”, заявил Раджан Патель из Canonical в анонсе.

Впрочем, это не полностью автоматическая защита. Livepatch обновляет только ядро. Обычные пакеты (например, OpenSSL) по-прежнему требуют обслуживания через привычный процесс apt upgrade. В Canonical также рекомендуют периодически перезагружать систему.

Как включить Livepatch на Ubuntu 26.04 LTS

Для использования Livepatch нужна учётная запись Ubuntu Pro, которая бесплатна для личного использования на пяти машинах. Пользователи Ubuntu 26.04 LTS могут включить её через Центр безопасности на рабочем столе или через командную строку на серверах, облачных инстансах и системах без монитора.