質問: CentOS7.0を利用しており、OpenSSLのバージョンを上げようとしています。 現在利用しているバージョンが、`openssl-1.0.1e-**.el7.x86_64`であり、 yum updateを実行すると、これまた`openssl-1.0.1e-**.el7.x86_64`というバージョンにアップデートされました。 (1.0.2系にしようと思うと、ソースを落としてきて、コンパイルして...という作業が必要のようでした。) --- Red Hat / CentOS では互換性を保つため、リリース時点のバージョンにセキュリティフィックス、バグフィックスのパッチを当てたものを(そのディストリビューションの)最新版として提供しています。 アップストリーム(OpenSSL であれば http://www.openssl.org/)で提供されている最新バージョンにはなりません。 --- というような記載が発見できたのですが、 OpenSSLのサイトを見ると、1.0.1系は2016-12-31でサポートが終了となっており、 1.0.2は2019-12-31までサポートとなっています。 上記記載のように単純にyum updateでディストリビューションの最新のバージョンに追従していればいいのか? yum updateの更新でアップデート出来るバージョンのサポートはいつまでなのか? また、そのような記載はどこに行われているのか、 ご存知の方おられましたらご教示いただけますと幸いです。 よろしくお願いいたします。
回答: CentOS標準のパッケージは、CentOS自体のサポートが切れるまでメンテナンスアップデートが続きます(CentOS 7であれば2024年まで)。本家では新しいバージョンでしか修正されなかった脆弱性も、対策可能なものはバックポートしていく、とのことです。 CentOS 6のPHP 5.3のパッチ状況を調べた例