質問: 有識者の皆様、よろしくお願いします。 脆弱性についての質問です。 例えば、NTPの脆弱性の状況について、JVNVUのサイトでは、NTPDのバージョンを「ntp-4.2.8p6」以下だと、 影響を受けるためバージョンアップをしてと言ってきます。 この状況で脆弱性に対するRedhatのサイトの対応状況がイマイチ理解できていないのですが (直接、サポートに聞けばいいというのは置いといて下さい(涙)) 下記のサイトのようにステータスが「Affected」の場合は、そのOSの最新パッケージでも影響を受けているということになると思うのですが、 【環境】 私の環境の場合、Redhat6.8 ntp 4.2.6p5-10 【質問】 この状況化で対応方法について、選択肢は以下で良いのでしょうか? 1yumで更新できるときまで放置 2rpmパッケージがある場合は、rpmでインストールする。 3緊急性があると判断した場合は、NTPのサイトからダウンロードして コンパイルして利用する ※上記について、そもそも間違っていたらご指摘下さい。 ちなみに、皆様が今回の脆弱性対応については、どうされるんでしょうか? よろしくお願いします。
回答: RHELの場合、パッケージ自体のメジャーバージョンは上げずに、見つかった脆弱性については古いバージョンへバックポートして対応していることが多々あります。 `yum changelog`などで詳細を確認して、本当に脆弱性が残ったままなのか確認してみてください。