Debsecan è uno strumento open source a riga di comando scritto in Python da Florian Weimer, per generare la lista delle vulnerabilità che potenzialmente possono affliggere sia una particolare installazione Debian (Woody, Sarge, Etch, Lenny e Sid), che Ubuntu (a partire dalla Dapper Drake 6.06). Il funzionamento è relativamente semplice; interrogando il database dpkg viene prelevata la lista dei pacchetti installati, con relativo numero di versione, per essere confrontata con il database delle vulnerabilità mantenuto dal Debian Testing Security Team.

Per l'installazione è sufficiente scaricare il sorgente in Python o utilizzare il comando: apt-get install debsecan. Quest'ultimo permette di avere a disposizione anche lo script debsecan-create-cron per schedulare quotidianamente la scansione ed avere, tramite e-mail, un rapporto sugli eventuali cambiamenti di sistema.

In assenza di parametri la lista è molto sintetica, con la sola indicazione del pacchetto “incriminato” ed il codice della vulnerabilità nel formato CVE (Common Vulnerability and Exposures), come registrato nel National Vulnerability Database con l'eventuale livello di urgenza.Usando il parametro --format detail possiamo avere maggiori informazioni anche senza dover interrogare il Security Bug Tracker.Lo switch --suite è strettamente legato all'installazione Debian e, se accoppiato con il parametro --only-fixed, permette di restringere la visualizzazione ai soli aggiornamenti sulla sicurezza mancanti. Questo aspetto diventa estremamente interessante in fase di installazione col comando apt-get. Nell'esempio, ho utilizzato l'opzione sid, che identifica la branca sperimentale di Debian (unstable), come tipologia comune per tutte le altre distribuzioni.