質問: お客様による kusanagi関連のパッケージのアップデート方法
回答: 2019年8月16日(金) 2019年8月19日(月)-更新- ### **■問題の概要** 平素は弊社サービスをご利用いただきましてありがとうございます。弊社提供のkusanagi with cubeサービスで標準採用しておりますwebサーバ(http/2 )の脆弱性(cve-2019-9511, cve-2019-9513, cve-2019-9516,cve-2019-10081, cve-2019-9517, cve-2019-10097)でサービス運用妨害 (dos) 攻撃の公表がございました。詳細につきましては、以下のurlをご参照ください。 http/2 の実装に対するサービス運用妨害 (dos) 攻撃手法-jvn- apache http web server 2.4 における複数の脆弱性に対するアップデート-jvn- nginx [nginx-announce] nginx security advisory (cve-2019-9511, cve-2019-9513, cve-2019-9516) **■脆弱性を受ける可能性が高いサービス名**kusanagi with cubeサービスを利用している、かつwebサーバにnginxもしくは、apacheを動作させていているサーバ (弊社ご開通時の標準webサーバは、nginxとなります。kusanagi with cubeサービス でapacheをご利用場合されている場合も本脆弱性の対象となります ) ### **■脆弱性の影響を受けるバージョン** **・nginx 1.9.5 から、nginx 1.17.2まで ・apache http web server 2.4.41 より前のバージョン(mod_http2モジュールを有効化されているサーバ)** なお、今回の脆弱性におきましては、 kusanagi 関連のパッケージのアップデートをお勧めいたします。 本ページでは、お客様ご自身にてkusanagi関連のパッケージのアップデートをおこなう方法をご案内いたします。 ※2019年8月19日現在の情報となります。 ### アップデートに関する注意事項 ・本手順は無保証となります。作業をされる際は、お客様の責任にておこなっていただけますようお願いいたします。 ・お客様にて初期設定から設定をカスタマイズしている場合は、以下のアップデート手順で正常にアップデートできない可能性がございます。ご注意ください。 ・本手順のアップデート中につきましては、通常の場合は数秒程度webサイトの表示が行えなくなりますのであらかじめご了承ください。 ### kusanagi関連のパッケージのアップデート方法(nginxの場合) **(1). ssh にてサーバにログイン** ssh にてサーバにログインし、root ユーザに切り替えます。 **(2). インストールされているパッケージの確認** | #rpm -qa | grep kusanagi-nginx | 特に何も表示されない場合には、kusanagi-nginxのパッケージが入っておりません。脆弱性影響の対象外となります。 脆弱性の対象バージョンは以下のようなコマンドの出力結果となります。 例) # rpm -qa | grep kusanagi-nginx kusanagi-nginx-1.15.8-1.noarch ←作業をおこなう必要がある対象バージョン **(3).nginxの文法チェック** | #nginx -t | 例)# nginx -t nginx: the configuration file /etc/nginx/nginx.conf syntax is ok nginx: configuration file /etc/nginx/nginx.conf test is successful ↑文法チェック上、問題ない場合のコマンドの出力例 **※syntax is okおよび、is successfulという文字以外が、出力された場合にはパッケージのアップデート作業を中止してください。中止しない場合は、アップデート作業後、webサーバが起動しなくなります。** **(4). kusanagi関連のパッケージアップデートの実施** 以下のコマンドを実行し、kusanagi関連のパッケージのアップデートを行います。 | #yum update kusanagi-* | **(5). アップデート後のパッケージバージョンの確認** | #rpm -qa | grep kusanagi-nginx | 上記コマンドを再度実行し、セキュリティパッチが適用されているパッケージのバーション(以下の**青文字**を参照)かどうかを確認します。 ■セキュリティパッチが適用されているnginxのパッケージのバーション kusanagi-nginx-1.17.3-1.noarch **(6). アップデート後のkusanagiのサービス再起動** | #kusanagi restart | **(7). webサイトの動作確認** 以上、となります。 ### kusanagi関連のパッケージのアップデート方法(**apacheの場合**) **(1). ssh にてサーバにログイン** ssh にてサーバにログインし、root ユーザに切り替えます。 **(2). インストールされているパッケージの確認** | #rpm -qa | grep kusanagi-httpd | 特に何も表示されない場合には、kusanagi-httpdのパッケージが入っておりません。脆弱性影響の対象外となります。 脆弱性の対象バージョンは以下のようなコマンドの出力結果となります。 例) # rpm -qa | grep kusanagi-httpd kusanagi-httpd-2.4.33-2.noarch ←作業をおこなう必要がある対象バージョン **(3).apacheの文法チェック** | #httpd -t | 例)# httpd -t [mon aug 19 12:20:27.949195 2019] [so:warn] [pid 8312] ah01574: module headers_module is already loaded, skipping syntax ok ↑文法チェック上、問題ない場合のコマンドの出力例 **※syntax okという文字以外が、出力された場合にはパッケージのアップデート作業を中止してください。中止しない場合は、アップデート作業後、webサーバが起動しなくなります。** ##### **(4). kusanagi 関連のパッケージアップデートの実施** 以下のコマンドを実行し、kusanagi関連のパッケージのアップデートを行います。 | #yum update kusanagi-* | **(5). アップデート後のパッケージバージョンの確認** | #rpm -qa | grep kusanagi-httpd | 上記コマンドを再度実行し、セキュリティパッチが適用されているパッケージのバーション(以下の**青文字**を参照)かどうかを確認します。 ■セキュリティパッチが適用されているapacheのパッケージのバーション kusanagi-httpd-2.4.41-1.noarch **(6). アップデート後のkusanagiのサービス再起動** | #kusanagi restart | **(7). webサイトの動作確認** 以上、となります。 なお、お客様にて作業が難しい場合は、弊社サポート宛て(support@clara.ne.jp)までご依頼をいただきますようお願い致します。 **弊社営業時間内(平日10:00-18:00)にて、弊社の任意のタイミングにて作業を実施させていただきます。** ご依頼の際のメールにつきましては、以下の内容を必ずご記載をいただきますようお願い致します。 □メールのご依頼フォーマット メールの件名:kusanagi のアップデート依頼 メールの本文 ・更新対象サーバのホスト名および、ipアドレス ・パッケージの更新作業後のメールのご連絡の有無(必要 or 不要) ※「必要」、「不要」のいずれかのご記載をいただきますようお願い致します。