Apache升级策略

Question

我使用的是 CentOS 6.5 和 Apache 2.2.15。我希望我的 httpd 是最新的，所以我做了：

yum update httpd

之后还是2.2.15版本，但最新版本是2.2.22。我还看到 2.2.15 和 2.2.22 之间的安全更新。

我想知道 2.2.15 是否安全？我应该强制更新到最新版本还是我拥有的版本就足够了。我正在寻求实现最大的安全性，所以我猜它应该是最新版本，但我是新手，所以只想确认这一点。

Answer 1

您必须了解 Red Hat 的打包和修补策略。

Red Hat 会选择他们在启动 RHEL 版本时将使用的任何给定工具的版本。对于 RHEL 6，这包括 Apache 2.2.15、2.6.32 内核、php 5.3.3 等。在 RHEL6 的剩余生命周期中，这些将不会升级；相反，红帽会将任何必要的补丁（有时，认为是可取的改进）向后移植到他们选择的版本中。这意味着您将运行的软件的版本号表明它容易受到某些众所周知的漏洞的攻击，但可能已经修补以避免这些漏洞。Red Hat在他们自己的网站上更详细地解释了所有这些。

如果您想确保自己不受特定漏洞的影响，则需要找到问题的 CVE 编号，并检查更改日志。幸运的是，rpm这比其他方式更容易。以CVE-2017-7679 为例，从表面上看，它会影响 httpd-2.2.15。在我的（CentOS6，但我怀疑 RHEL6 会给出相同的响应）系统上，已修补：

[me@lory ~]$ rpm -q --changelog httpd|grep 7679
- Resolves: #1463207 - CVE-2017-7679 httpd: mod_mime buffer overread

令人惊讶的是许多SOI-disant安全审计人员不了解RH的做法（正如下面提到的，是常见的大多数企业的头脑发行版）所带来的后果，他们中的一些它已经连解释后缓慢和简单的字。