質問: お客様による ghostscript 関連のパッケージのアップデート方法
回答: お客様による ghostscript 関連のパッケージのアップデート方法 ==================================== 2020年2月6日(木) ### **■問題の概要** 平素は弊社サービスをご利用いただきましてありがとうございます。 弊社提供のサーバのosに、rhel7および、centos7を搭載しているサーバ 、flex mini cubeシリーズ、flex webシリーズ(centos7のみ)、kusanagi with cubeシリーズで遠隔の第三者によって細工されたファイルを ghostscript が処理することで、ghostscript の権限で任意のコマンドを実行される可能性があると公表がありました。 詳細につきましては、以下のリンクをご参照ください。 **※なお、サーバosにrhel5,centos5,rhel6,centos6を搭載したサーバ、flex mini シリーズおよび、flex mini 2シリーズは,本脆弱性の対象外となります。** ghostscript におけるアクセス制限回避の脆弱性 redhat社のページ(cve-2019-14869) **■脆弱性を受ける可能性が高いosバージョンおよび、サービス名** 弊社提供のサーバのosにrhel7および、centos7を搭載しているサーバ 、flex mini cubeシリーズ、flex webシリーズ(centos7のみ)、kusanagi with cubeシリーズのみが対象となります。 ### **■脆弱性の影響を受けるバージョン** * ghostscript 9.27 およびそれ以前 なお、今回の脆弱性におきましては、 ghostscript 関連のパッケージのアップデートをお勧めいたします。 本ページでは、お客様ご自身にて ghostscript 関連のパッケージのアップデートをおこなう方法をご案内いたします。 ※2020年2月6日現在の情報となります。 ### アップデートに関する注意事項 ・本手順は無保証となります。作業をされる際は、お客様の責任にておこなっていただけますようお願いいたします。 ・お客様にて初期設定から設定をカスタマイズしている場合は、以下のアップデート手順で正常にアップデートできない可能性がございます。ご注意ください。 ### ghostscript 関連のパッケージのアップデート方法 **(1). ssh にてサーバにログイン** ssh にてサーバにログインし、root ユーザに切り替えます。 **(2). インストールされているパッケージの確認** | #rpm -qa | grep ghostscript | 特に何も表示されない場合には、 ghostscript のパッケージが入っておりません。脆弱性影響の対象外となります。 脆弱性の対象バージョンは以下のようなコマンドの出力結果となります。 例)rpm -qa | grep ghostscript ghostscript-devel-9.07-31.el7_6.11.x86_64 ghostscript-9.07-31.el7_6.11.x86_64 **←作業をおこなう必要がある対象バージョン** ghostscript-fonts-5.50-32.el7.noarch **(3).** **ghostscript 関連のパッケージアップデートの実施** 以下のコマンドを実行し、 ghostscript 関連のパッケージのアップデートを行います。 | #yum update ghostscript | **(4). アップデート後のパッケージバージョンの確認** | # rpm -qa | grep ghostscript | 上記コマンドを再度実行し、セキュリティパッチが適用されているパッケージのバーション(以下の**青文字**を参照)かどうかを確認します。 ■**セキュリティパッチが適用されているghostscriptのパッケージのバーション rhel7,centos7 ghostscript-9.25-2.el7_7.3.x86_64** **(5). 運用中のwebサイトの動作確認** 以上、となります。 なお、コントロールパネルにplesk onyxをご利用されている場合には、plesk上からも特定パッケージのみ選択して更新をおこなうことができます。 なお、お客様にて作業が難しい場合は、弊社サポート宛て(support@clara.ne.jp)までご依頼をいただきますようお願い致します。 □メールのご依頼フォーマット メールの件名: ghostscript のアップデート依頼 メールの本文 ・更新対象サーバのホスト名および、ipアドレス ・パッケージの更新作業後のメールのご連絡の有無 (必要 or 不要) ※「必要」,「不要」のいずれかのご記載をいただきますようお願い致します。