Canonical меняет подход к выпуску обновлений ядра Ubuntu. Компания представила новую стратегию, которая ускорит доставку исправлений CVE пользователям без сокращения объёма тестирования.

Компания отказывается от текущего сочетания четырёхнедельных циклов SRU для регулярных обновлений ядра и двухнедельных циклов безопасности в пользу единого двухнедельного процесса выпуска. Поскольку циклы перекрываются, фактически новое ядро Ubuntu будет выходить каждую неделю.

Полный цикл тестирования ядра при этом не сокращается до семи дней. Новый двухнедельный цикл стартует каждую неделю, поэтому одно ядро может находиться на финальной стадии тестирования, пока готовится следующее.

В течение первой недели Canonical интегрирует патчи, готовит пакеты, выполняет сборки и запускает первичные smoke-тесты. После этого кандидаты в ядра публикуются в репозиторий Ubuntu -proposed.

Вторая неделя отведена на сертификацию, интеграцию и регрессионное тестирование, после чего ядро становится доступно пользователям.

Главная причина изменений, растущее число CVE в ядре Linux. В Canonical отмечают, что автоматизированный поиск уязвимостей, в том числе с помощью ИИ-инструментов, выявляет больше проблем, чем раньше.

Ещё один фактор: проект ядра Linux получил статус CVE Numbering Authority, что заметно увеличило число уязвимостей с идентификаторами CVE. В их число попали многие баги, которые раньше так не классифицировали.

Пользователи и организации, которым исправления нужны раньше, по-прежнему смогут брать кандидаты в ядра из репозитория -proposed до завершения полной сертификации. Администраторы смогут начать собственное тестирование примерно за неделю до стабильного релиза.

Помимо этого, Canonical намерена быстрее реагировать в случаях, когда полноценное исправление ядра ещё не готово. Компания планирует в течение 24-48 часов после публичного раскрытия уязвимости предлагать средства защиты или безопасные обходные пути, когда это возможно.

Если обходного пути нет, Canonical опубликует рекомендации по усилению защиты до момента выпуска полноценного патча.

Подробности приведены в объявлении Canonical.