脆弱性パッチが適用されたパッケージがリリースされるまでの期間

前提

CentOS6.8

質問内容

脆弱性に対するパッチが適用されたパッケージがリリースされるまでの期間は通常どれくらいかかるものなのでしょうか？
パッケージの種類、脆弱性の深刻度によって、リリースまで速い、遅いの違いはあるのでしょうか？具体例があれば教えて下さい。
パッチが適用されたパッケージのリリース情報はどこかのサイトで即発表されるものなのでしょうか？あるのであればおすすめサイトを教えて下さい。
その他質問内容に関するもので参考になるサイトなどあれば教えてください。

以上、宜しくお願い致します。

行動規範の内容に同意します

回答2件

ベストアンサー

引用テキストパッケージの種類、脆弱性の深刻度によって、リリースまで速い、遅いの違いはあるのでしょうか？具体例があれば教えて下さい。

この答えは、Yesです。以下に「本家の修正に即時に対応したもの」、「時間がかかったもの」、「対応されなかったもの」の例をあげます。いずれもPHPです。

まず、早かったもの。

CGI版PHPのリモートコード実行脆弱性 CVE-2012-1823

PHP 5.3.28 2012/5/8
RHEL5/6 2012/5/7
https://access.redhat.com/security/cve/cve-2012-1823

なんと、本家よりも早くパッチが出ていますね

次に、時間がかかったもの。

PHPの header 関数におけるキャリッジリターンのチェック漏れ CVE-2011-1398

PHP 5.3.10 2012/2/2

RHEL5 2013/12/11 約 1年10ヶ月後
RHEL6 2013/2/20 約 1年後
参考: https://access.redhat.com/security/cve/cve-2011-1398

1年以上時間がかかっています。

最後に、パッチが出なかったもの。

Use after free vulnerability in session deserializer CVE-2015-6835

PHP 5.6.13 2015/09/03

RHEL/CentOS 修正なし
参考: https://access.redhat.com/security/cve/cve-2015-6835

投稿2017/02/06 14:16

編集2017/02/06 14:19

ockeghem

総合スコア11701

question-server

2017/02/21 07:26

返事が遅れてしまし申し訳ありません。具体例の提示ありがとうございます。種類、脆弱性の深刻度によって変わって、パッチがでなかったものもあるのですね。理解できました。ありがとうございます。今後も宜しくお願いします。

行動規範の内容に同意します

脆弱性に対するパッチが適用されたパッケージがリリースされるまでの期間は通常どれくらいかかるものなのでしょうか？

パッケージの種類、脆弱性の深刻度によって、リリースまで速い、遅いの違いはあるのでしょうか？具体例があれば教えて下さい。

OSが提供するサポート中のパッケージであれば、経験上通常1日程度で提供されているように思います。
ただし、CentOSにおいては例えば今CentOS 6.8を使っている場合、この後Red Hat Enterprise Linux 6.9がリリースされてからCentOS 6.9がリリースされるまでの間（少なくともRC版に相当するContinuous Releaseが現れるまでの半月から1月ほど）はパッチが提供されない状態になります。
これはCentOSを使う際の最大級のリスクかもしれません。