将 centos apache 升级到 httpd-2.2.23

Question

2012 年 4 月，Apache 中发现了一个安全漏洞，这是一个 PCI 合规性问题： http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-0883

我一直使用 yum 更新我的服务器 (CentOS)。我找不到 httpd-2.2.23 的 repo（当前运行 2.2.22）。我已经很久没有从源代码构建任何东西了，所以我并不热衷于这样做，但如果需要的话我会这么做的。

我的问题是，我该如何做才能不破坏 yum 更新过程？

道明

Answer 1

备份你的 apache 配置文件，卸载 httpd 、 httpd-devel 和任何其他 httpd 包，然后你可以从以下位置手动下载 rpm这里。

并使用 yum 或 rpm 安装它。

yum localinstall pkg_name
rpm -ivh pkg_name

希望这可以帮助！

Answer 2

您无需对您的服务器进行任何操作。

据 Red Hat 称，RHEL（以及 CentOS）附带的 Apache 版本不易受到此攻击。

您确实需要将此信息提供给您的 PCI 合规审计员。

Answer 3

不要改变任何东西。

Red Hat（以及 CentOS）从较新版本中移植了安全修复程序，而不是全面升级到较新版本并可能引入兼容性问题。

在这种情况下，没有反向移植，因为打包版本不易受到攻击。请参阅这里；该扫描结果是假阳性。

用于漏洞检查的原始版本号匹配通常不准确；考虑更改为ServerTokens Prod。