質問: ### 質問内容 「httpd 2.4.6-45.el7.centos.4」のリリースで改善された内容が確認できる公式な情報元を知りたい。 ### 発生している問題 centos7 のWebサーバーを管理運用しており、下記の環境となります。 環境 AWS/centos7.2/apache httpd-2.4.6-45.el7.centos 下記の脆弱性対応を実施する事になっています。 脆弱性情報 職場ルールで yum でのインストール、アップデートを絶対としています。 上記の脆弱性情報ページにある通り、apache 2.4.26 が yum でインストールできるようになるまで待つものと認識していましたが、お客様より「2.4.6-45.el7.centos.4 がリリースされており、これを適用すれば脆弱性対応になるので、内容を確認して適用して欲しい」と指示をもらってます。 この「httpd 2.4.6-45.el7.centos.4」が本当に ↑ の脆弱性に対応した内容となっているのか確認し、客に報告してから作業実施にのぞみたいのですが、そのような情報元が見つからず困っています。 よろしくお願い致します。 ### 試したこと centos のフォーラムページも探ってみましたが、それらしい情報には辿りつけませんでした。 同じく「httpd 2.4.6-45.el7.centos.4」と「httpd 2.4.26」が同じ脆弱性に対応しているのかも知りたい内容ですが、↑ の情報元がわかれば確認できると想定しています。 ### 補足情報 検証用サーバに「httpd 2.4.6-45.el7.centos.4」をインストールしチェンジログを確認してみましたが、今回の内容に「CVE-2017-XXXX」という記述はありません。 ``` $ sudo rpm -q --changelog httpd * 水 4月 12 2017 CentOS Sources - 2.4.6-45.el7.centos.4 - Remove index.html, add centos-noindex.tar.gz - change vstring - change symlink for poweredby.png - update welcome.conf with proper aliases * 水 3月 08 2017 Lubo? Uhliarik - 2.4.6-45.4 - Resolves: #1396197 - Backport: mod_proxy_wstunnel - AH02447: err/hup on backconn * 火 2月 14 2017 Joe Orton - 2.4.6-45.3 - prefork: fix delay completing graceful restart (#1327624) - mod_ldap: fix authz regression, failing to rebind (#1415257) * 火 2月 14 2017 Joe Orton - 2.4.6-45.2 - updated patch for CVE-2016-8743 * 月 1月 30 2017 Lubo? Uhliarik - 2.4.6-45.1 - Resolves: #1412975 - CVE-2016-0736 CVE-2016-2161 CVE-2016-8743 httpd: various flaws (以降省略) ```
回答: 回答頂いたお二方の内容を踏まえて、公式な情報が今のところ無い為、centos公式ページのウォッチを続けて行きたいと思います。また、脆弱性の対応とはならなそうである事も含め、今後の対応をお客様にお話したいと思います。 「httpd 2.4.6-45.el7.centos.4」のアップデート自体は実施します。