APT/DNF/Zypper Advanced Linux Update Check - pending package updates for Debian/Ubuntu (apt, apt-get), RHEL/Rocky/Alma/Oracle Linux/Fedora (dnf, yum) and SLES/openSUSE (zypper), rated by threat.
Every pending update is put into one tier: zero-day (fixes a CVE in the CISA KEV catalog, actively exploited), critical (severity critical/high or EPSS score above threshold), security, normal. Each tier has its own delay, counted from the moment the update was first seen on the host, plus state and escalation. Example: actively exploited fixes go CRIT immediately, ordinary security updates WARN only after 24 hours - no more daily alerts for hosts with unattended nightly patching. Zero-day and critical can be switched off.
apt: simulates apt-get upgrade AND dist-upgrade (kept back, phased, new and removed packages), CVEs via OSV. dnf/yum: severity, advisory and CVEs from the distribution's updateinfo. zypper: security patches with severity and CVEs. snap/flatpak updates as info.
Services: APT/DNF/YUM/Zypper Pending Updates, Reboot Required (reboot flag, needs-restarting, newer kernel, kernel livepatch, services to restart), Repository Health (metadata age, refresh errors, missing security repository, foreign suites, broken and orphaned packages, unattended-upgrades/dnf-automatic, OS end of life).
HW/SW inventory with pending updates and CVE table - find all hosts affected by a CVE. Automatic host labels (package manager, automatic updates, security information, livepatch). Graphs and perfometers.
Agent Bakery rule, always asynchronous, rate-limited metadata refresh. Nothing is ever installed. Threat data (CISA KEV, EPSS, OSV, endoflife.date) is refreshed automatically on every site, no cron or setup needed, proxy supported. Checkmk 2.5.0+.
Keywords: apt, apt-get, dnf, yum, zypper, debian, ubuntu, rhel, rocky, almalinux, oracle linux, fedora, sles, opensuse, security updates, patch management, cve, kev, epss, zero-day, reboot required, livepatch, unattended-upgrades, snap, flatpak, inventory
APT/DNF/Zypper Advanced Linux Update Check - offene Paket-Updates für Debian/Ubuntu (apt, apt-get), RHEL/Rocky/Alma/Oracle Linux/Fedora (dnf, yum) und SLES/openSUSE (zypper), bewertet nach Bedrohungslage.
Jedes offene Update kommt in eine Stufe: Zero-Day (schließt eine CVE aus dem CISA-KEV-Katalog, aktiv ausgenutzt), Critical (Schweregrad critical/high oder EPSS über Schwelle), Security, Normal. Jede Stufe hat eine eigene Verzögerung, gezählt ab der ersten Sichtung des Updates auf dem Host, sowie Status und Eskalation. Beispiel: aktiv ausgenutzte Lücken sofort CRIT, normale Security-Updates erst nach 24 Stunden WARN - keine täglichen Alarme mehr bei Hosts mit nächtlichem automatischem Patchen. Zero-Day und Critical lassen sich abschalten.
apt: simuliert apt-get upgrade UND dist-upgrade (kept back, phased, neue und entfernte Pakete), CVEs über OSV. dnf/yum: Schweregrad, Advisory und CVEs aus updateinfo der Distribution. zypper: Security-Patches mit Schweregrad und CVEs. Snap-/Flatpak-Updates als Info.
Services: APT/DNF/YUM/Zypper Pending Updates, Reboot Required (Reboot-Flag, needs-restarting, neuerer Kernel, Kernel-Livepatch, Dienste mit Neustart-Bedarf), Repository Health (Alter der Metadaten, Refresh-Fehler, fehlendes Security-Repository, fremde Releases, defekte und verwaiste Pakete, unattended-upgrades/dnf-automatic, OS End of Life).
HW/SW-Inventur mit offenen Updates und CVE-Tabelle - alle von einer CVE betroffenen Hosts finden. Automatische Host-Labels (Paketmanager, automatische Updates, Security-Informationen, Livepatch). Graphen und Perfometer.
Agent-Bakery-Regel, immer asynchron, gedrosselter Metadaten-Refresh. Es wird nie etwas installiert. Threat-Daten (CISA KEV, EPSS, OSV, endoflife.date) aktualisieren sich auf jeder Site automatisch, ohne Cron oder Einrichtung, Proxy wird unterstützt. Ab Checkmk 2.5.0.
Stichworte: apt, apt-get, dnf, yum, zypper, debian, ubuntu, rhel, rocky, almalinux, oracle linux, fedora, sles, opensuse, security updates, patch management, cve, kev, epss, zero-day, reboot required, livepatch, unattended-upgrades, snap, flatpak, inventory