質問: 前提 --- * CentOS6.8 質問内容 ----- * 脆弱性に対するパッチが適用されたパッケージがリリースされるまでの期間は通常どれくらいかかるものなのでしょうか? * パッケージの種類、脆弱性の深刻度によって、リリースまで速い、遅いの違いはあるのでしょうか?具体例があれば教えて下さい。 * パッチが適用されたパッケージのリリース情報はどこかのサイトで即発表されるものなのでしょうか?あるのであればおすすめサイトを教えて下さい。 * その他質問内容に関するもので参考になるサイトなどあれば教えてください。 以上、宜しくお願い致します。
回答: > > 引用テキストパッケージの種類、脆弱性の深刻度によって、リリースまで速い、遅いの違いはあるのでしょうか?具体例があれば教えて下さい。 > > > この答えは、Yesです。以下に「本家の修正に即時に対応したもの」、「時間がかかったもの」、「対応されなかったもの」の例をあげます。いずれもPHPです。 まず、早かったもの。 CGI版PHPのリモートコード実行脆弱性 CVE-2012-1823 PHP 5.3.28 2012/5/8 RHEL5/6 2012/5/7 https://access.redhat.com/security/cve/cve-2012-1823 なんと、本家よりも早くパッチが出ていますね 次に、時間がかかったもの。 PHPの header 関数における キャリッジリターンのチェック漏れ CVE-2011-1398 PHP 5.3.10 2012/2/2 RHEL5 2013/12/11 約 1年10ヶ月後 RHEL6 2013/2/20 約 1年後 参考: https://access.redhat.com/security/cve/cve-2011-1398 1年以上時間がかかっています。 最後に、パッチが出なかったもの。 Use after free vulnerability in session deserializer CVE-2015-6835 PHP 5.6.13 2015/09/03 RHEL/CentOS 修正なし 参考: https://access.redhat.com/security/cve/cve-2015-6835