質問: いつもお世話になっております。 脆弱性評価の見方について教えていただきたく。 1現在、CentOS6を使用しています。 JVNのwebサイトとRedhatの脆弱性情報を確認しますが、 CVSSの値が異なっているのはなぜでしょうか? 例えば「CVE-2016-2107」の場合、JVNのCVSSスコア2.6に対して、 RedhatのCVSSスコアは4になっています。 これは、JVNのwebサイトは基本的な値を表していて、詳細はベンダー製品によって脆弱性の評価が異なるということでしょうか。 また、CentOS6を使用している私の場合は、Redhatの脆弱性情報を参考にすればよろしいでしょうか? ・JVN ・Redhat 2また、CVE-2016-2107はopensslの脆弱性となります。 JVNのWebサイトの対策をみると、1.0.1tにアップグレードが必要の旨記載がありますが、 RedhatのWebサイトをみると、openssl-1.0.1e-48.el6_8.1でCVE-2016-2107の脆弱性は対応しているように見えます。 また、下記のRPMパッケージのarchiveよりopenssl-1.0.1e-48.el6_8.1のChangelogをみても「fix CVE-2016-2107 - padding oracle in stitched AES-NI CBC-MAC」と記載されています。 これは、opensslのベンダーとは別途、Redhat側で本脆弱性に対応している。この脆弱性に関しては1.0.1tにアップグレードせずとも、openssl-1.0.1e-48.el6_8.1にアップデートすれば問題ない。 という認識でよろしいでしょうか?
回答: > > JVNのwebサイトとRedhatの脆弱性情報を確認しますが、 > > CVSSの値が異なっているのはなぜでしょうか? > > > Understanding Red Hat security ratings の最後の節 "Differences Between NVD and Red Hat Scores" を参照ください。 各ベンダーが提供しているバージョン、プラットフォーム、コンパイルオプションによって評価が異なるとのこと。 > > これは、opensslのベンダーとは別途、Redhat側で本脆弱性に対応している。この脆弱性に関しては1.0.1tにアップグレードせずとも、openssl-1.0.1e-48.el6_8.1にアップデートすれば問題ない。 > > という認識でよろしいでしょうか? > > > はい。 互換性を維持するために、本家(アップストリーム)最新バージョンの修正を、Red Hat が提供しているバージョンにバックポートしてパッケージを作ります。 ライブラリなど影響が広範囲に渡るものはバージョンを上げませんが、firefox, samba, mysql, postgresql など、バージョンアップするものもあるようです。