opensslの脆弱性対応（CVE-2016-2105～CVE-2016-2109)について

Question

初めてこのサイトを利用させていただきます。
初歩的な内容となり申し訳ありません。

opensslの脆弱性対応（CVE-2016-2105～CVE-2016-2109)について、
影響の有無を確認しています。

・RedHat
https://access.redhat.com/ja/solutions/2310151

■当環境
OS:Red Hat Enterprise Linux Server release 5.11
OpenSSL 0.9.8e-fips-rhel5

■質問内容

①Redhatのページを確認しますと、RedHat5系について、「openssl」と「openssl097a」の情報はあるのですが、
openssl098eについて、記載がありません。
RedHat5系でopenssl098eを利用している場合、特にCVE-2016-2106については、
影響の有無をどう判断されているのでしょうか。

②Redhat5系に「openssl」と記載がありますが、これはどのバージョンを指すのでしょうか。

③仮にRed Hat7系でopenssl-1.0.1e-51.el7_2.5で運用している場合、ステータスが「リリース済み」となっている場合、脆弱性対応はFIXされていると考えてよろしいのでしょうか？
最新バージョン（openssl-1.0.1e-51.el7_2.5）にする必要はありますか？

大変申し訳ありませんが、何卒お力添えをお願いします。

Answer 1

①Redhatのページを確認しますと、RedHat5系について、「openssl」と「openssl097a」の情報はあるのですが、
openssl098eについて、記載がありません。
RedHat5系でopenssl098eを利用している場合、特にCVE-2016-2106については、
影響の有無をどう判断されているのでしょうか。

②Redhat5系に「openssl」と記載がありますが、これはどのバージョンを指すのでしょうか。

「openssl」、「openssl097a」は RPM のパッケージ名です。
RHEL 5 でリリースされている openssl は下記のとおりです。
RHEL 5 の「openssl」はバージョン 0.9.8e を指します。

パッケージ名 | バージョン
openssl      | 0.9.8e
openssl097a  | 0.9.7a

③仮にRed Hat7系でopenssl-1.0.1e-51.el7_2.5で運用している場合、ステータスが「リリース済み」となっている場合、脆弱性対応はFIXされていると考えてよろしいのでしょうか？
最新バージョン（openssl-1.0.1e-51.el7_2.5）にする必要はありますか？

「リリース済み」の行の「エラータ」や「パッケージ」のバージョン・リリースで FIX されています。
そのバージョン・リリース番号未満のパッケージをお使いでしたら、最新バージョンにアップデートする必要があります。

Comments

[kiyari]

ご回答ありがとうございました。
こんなに丁寧に回答頂けると思っていませんでした。
ありがとうございます。

①②について、よく分かりました。

追加質問で大変申し訳ありませんが、③について「修正の予定なし」というのは、
　・影響があるけど、サポートしない
　・影響がないので、現バージョンで問題ない
　・影響の有無を確認してない（or 確認中）
のどれに該当するのでしょうか？

何度も申し訳ありません。

[TaichiYanagiya]

それぞれの CVE 番号によって異なると思います。
RedHat に問い合わせるのが確実ですが、
RedHat の CVE のアナウンス(https://access.redhat.com/security/cve/CVE-2016-2108)、
Bugzilla (https://bugzilla.redhat.com/show_bug.cgi?id=1331402)、
本家の情報 (https://openssl.org/news/secadv/20160503.txt)
などを参照すると、影響を受ける／受けないバージョンが記載されていることがあります。

CVE-2016-2108 については、英語のページに切り替えると「Affected」に変わっています。
おそらく、「影響があるけど、サポートしない」から「影響があり、対応を検討中」に変わったのかと。

Answer 2

直接的な回答でなくて恐縮ですが、redhatをご利用なのであれば、サポートも受けられるはずなので、公式の見解を求められるのが一番かと。特にセキュリティに関わる部分なので、公式見解をちゃんともらった方がいいですよ。

Comments

[kiyari]

ありがとうございます。
今後は公式サポートも利用していきます。

Answer 3

公式の回答が一番正確かと思いますが、とりあえず私見で回答いたします。

①opensslの情報を参照して問題ないです。
RHEL5系ではopenssl0.9.8系を採用しているので、opensslを参照して問題ないです。
別途古いバージョンをインストールする人の為にopenssl097があり、
パッケージ名もopenssl097となっております。
またyum list install | grep openssl で得られるパッケージ名と照らし合わせれば問題ないです。

②上記の通り0.9.8系です。

③ステータスがリリース済みになった日付(あるいはバージョン番号)を確認し、
その日付以降にyum update を実行していれば対応したものがインストールされています。
そうでなければ対応済みのバージョンがインストールされていません。

Comments

[kiyari]

丁寧に回答していただきありがとうございます。
投稿順で別の方をベストアンサーにしました。
またよろしくお願いしますｍ○ｍ