Lynis项目在Fedora 40中检测systemd版本的问题分析

问题背景

Lynis是一款开源的安全审计工具，用于增强Linux系统的安全性。在Fedora 40系统中，用户报告了一个关于systemd版本检测的问题，该问题导致Lynis在运行过程中出现错误。

问题现象

当用户在Fedora 40系统上通过cron定时任务运行Lynis时，系统会报告以下错误信息：

/etc/cron.daily/lynis.garberw:
/usr/bin/grep: warning: stray \ before -

经过深入分析，这个问题源于Lynis在检测systemd版本时使用的命令存在问题。具体来说，是在/usr/share/lynis/include/tests_boot_services文件中，使用awk命令解析systemd-analyze --version输出时出现了问题。

技术分析

在Lynis的源代码中，检测systemd版本的逻辑如下：

SYSTEMD_VERSION=$("${SYSTEMDANALYZEBINARY}" --version | ${AWKBINARY} '/^systemd/ {print $2}')

这条命令尝试从systemd-analyze --version的输出中提取版本号。然而，在Fedora 40环境中，这个命令执行失败，导致无法正确获取systemd版本信息。

临时解决方案

用户提供了一个临时解决方案，即手动设置systemd版本号：

SYSTEMD_VERSION=251

这种方法虽然可以暂时解决问题，但并不是一个理想的长期解决方案，因为它硬编码了版本号，无法适应不同系统环境。

更深层次的问题

进一步调查发现，这个问题可能与Fedora 40中grep命令的行为变化有关。在系统中存在多处grep命令使用了转义字符\后跟连字符-的情况，例如：

grep -E "GREP.*\\\-"

Fedora 40的grep会对这种转义发出警告，提示"stray \ before -"。这表明在较新版本的grep中，不再需要（或不再推荐）对连字符进行转义。

解决方案建议

1. 更新Lynis版本：最新版本的Lynis(3.1.2)可能已经修复了这个问题。建议用户升级到最新版本。

2. 修改源代码：如果暂时无法升级，可以修改源代码中grep命令的使用方式，移除不必要的转义字符。

3. 与Fedora维护者协作：将这个问题反馈给Fedora的软件包维护者，确保在Fedora仓库中的Lynis软件包包含相关修复。

结论

这个问题展示了在跨Linux发行版和版本中维护shell脚本兼容性的挑战。随着基础工具（如grep）行为的细微变化，原本正常工作的脚本可能会出现问题。对于系统管理员和安全审计人员来说，了解这些潜在问题并及时更新审计工具至关重要。

对于Fedora 40用户，建议关注Lynis的更新情况，或者考虑手动应用相关修复，以确保系统安全审计工作的正常进行。