(1)セキュリティホールに対応
openldap-2.2.13-7.4E
openldap-clients-2.2.13-7.4E
openldap-servers-2.2.13-7.4E
compat-openldap-2.1.30-7.4E
・CVE-2006-4600 に対処
openssh-3.9p1-8.RHEL4.20
openssh-clients-3.9p1-8.RHEL4.20
openssh-server-3.9p1-8.RHEL4.20
・CVE-2005-2666 に対処
openssl-0.9.7a-43.16
・CVE-2006-2937、CVE-2006-2940、CVE-2006-3738、CVE-2006-4339、
CVE-2006-4343 に対処
php-4.3.9-3.22.5
php-imap-4.3.9-3.22.5
php-ldap-4.3.9-3.22.5
php-odbc-4.3.9-3.22.5
php-pear-4.3.9-3.22.5
php-pgsql-4.3.9-3.22.5
・CVE-2007-0455、CVE-2007-1001、CVE-2007-1285、CVE-2007-1286、
CVE-2007-1583、CVE-2007-1711、CVE-2007-1718、CVE-2007-1864、
CVE-2007-2509 に対処
その他、以下のパッケージも含みます。
initscripts-7.93.29.EL-1.i386.rpm
httpd-2.0.52-32.ent.i386.rpm
httpd-suexec-2.0.52-32.ent.i386.rpm
mod_ssl-2.0.52-32.ent.i386.rpm
(2)セキュリティ脆弱性回避のための設定変更
・Webサーバが返答するServerヘッダでサーバ情報が入手されてしまう問題
に対処するため、Webサーバの設定を以下のとおり変更しました。
変更対象ファイル:/etc/httpd/conf/httpd.conf
変更内容:ServerTokens の設定値を、"OS"から"ProductOnly"に変更。
この変更により、Webサーバが返答するServerヘッダの値は
"Apache"となります。標準のインストール状態では、
ServerTokensは "OS" が設定されています。
なお、"OS" 以外の値が設定されていた場合、"ProductOnly"
への変更は行われません。また、httpd.conf 以外の設定
ファイルは参照しておらず、httpd.conf 以外の設定ファイル
の書き換えは行われません。
※注意※
ServerTokensに設定可能な値は、"ProductOnly","Minimal","OS","Full"
の4種類があり、順に表示する内容が詳細になっていきます。
ServerTokensを上記の値以外の設定にしたり、ServerTokensの設定
自体をコメントにするなど無効にした場合、Webサーバが返答する
Serverヘッダの値は "Full" を設定した時と同じになりますので、
直接編集される場合は十分注意してください。
|