質問: ### 前提・実現したいこと RHEL7 apacheの脆弱性対策を考えています。 構成は以下になります。 使用サーバ:RHEL7 使用アプリ:httpd-2.4.6-40.el7_2.4.src.rpm 上記のバージョンでは以下のCVEが該当します。 2017-7679 2017-7668 ...etc 2014-8109 いずれもFixしているのはオープンソース版の2.4.26以上か2.2.34のみです。 --- ■すべてFixさせる場合 RHEL7の最新版でもFixされていないため、 すべてFixさせる場合はオープンソース版の最新版にする必要があると思いますが、 RHEL7版とオープンソース版は全く別物になりますでしょうか。 仮にオープンソース版へのアップデートを考えたときに、 どんな影響や弊害を考える必要があるのか分かりません。 現行システムの仕様と比較して影響範囲などを確認したり検証したりする必要があるのか、 はたまた普通に切り替えてしまって問題ないのか、 影響が大きいなら切り替えは行わずRHEL7の最新版にアップデートして待ったほうがよいのか、 など判別がついていません。 オープンソース版とRHEL版の違いや、考え方の指針についてご教示いただけますでしょうか。 ### 発生している問題・エラーメッセージ ### 該当のソースコード ``` ここにご自身が実行したソースコードを書いてください ``` ### 試したこと 課題に対してアプローチしたことを記載してください ### 補足情報(言語/FW/ツール等のバージョンなど) より詳細な情報
回答: 通常の対応は、 * 設定レベルで行える軽減策があるなら適用する * 軽減策がなく攻撃経路が存在するならサービスを止める * あとはパッケージが更新されるのを待つ です。 環境の都合で対策が取れずパッケージの更新も待てない場合は自力で対策することになります。 Apacheに限らず、RHELで提供されているパッケージは、オリジナルのものにセキュリティ修正をバックポートしたソースから作られています。 これをオリジナルのものに入れ替える場合、次の問題があります * 他のパッケージとの依存関係が崩れる * 設定ファイルの非互換 * 公式パッケージには含まれない機能拡張による非互換 間違いなくすんなりとはいきませんが、Redhatのサポートは受けられませんのでこれらは自力で解決する必要があります。 もう一つの方法として、Redhatの代わりにバグ修正だけを自力でバックポートする方法もあります。SRPMと、オリジナルのソースコードからセキュリティ修正に関する部分の差分を入手し、展開したSRPMにそれを反映して、RPMを作り直します。Redhatのサポートは受けられないことにかわりはありませんが、上記の問題は軽減されます。 いずれにせよそれなりの知識が要求されます。