会社の運営に重要なCentOS SFTPサーバーがあります。現在、このサーバーで実行されているLinuxカーネルのバージョンで脆弱性が発見されました。
Linux 3.10.0-1160.6.1.el7.x86_64 x86_64
YUMを使用してCentOSをアップデートしようとしていますが、システムにアップデートがありません。研究の最後に、カーネルを更新するためにElRepoリポジトリを追加するというアイデアが多くの記事で指摘されています。
しかし、これがなぜ必要なのか知りたいです。私はこれが非常に高く評価されているリポジトリであることを知っていますが、可能であれば実際にCentOSリポジトリを使用したいと思います。
CentOSは独自のリポジトリでカーネルアップデートを実行するべきではありませんか？
だから私の質問に客観的に答えてみましょう。 CentOSカーネルを更新してこの脆弱性を100％公式の方法で削除するにはどうすればよいですか？https://lists.centos.org/pipermail/centos-cr-announce/2020-October/012745.html
答え1
明らかに、CentOS管理者がRedHatソースをインポートしてCentOS用にビルドするのに時間がかかります。
今日、カーネルアップデート3.10.0-1160.11.1.el7がリリースされたことを知らせました。だからインストールすればいいようです。更新が近いサーバーに到達するのに時間がかかり、さらに1日待つ必要があるかもしれません。
ここ下のグラフは、CentOSが修正をリリースするのにかかる時間を示しています。CentOSのサポート変更選択肢を探し始めることをお勧めします。 CentOS 7の場合は2024年までにセキュリティ更新プログラムを受け取ることができますが、CentOS 8の場合は2021年末までにのみセキュリティ更新プログラムを受け取ることができます。
答え2
ELRepo（Community Enterprise Linux Repository）は、EL6、EL7、およびEL8（ディスプレイ、ファイルシステム、hwmon、ネットワーク、およびストレージドライバを含む）のハードウェアサポートを強化するkmodドライバパッケージに焦点を当てています。最新のカーネルも利用できます。 ELRepoのホームページに従ってelrepo-releaseパッケージをインストールし、GPGキーをインポートします。
カーネルの修正/更新（ELREPOなど）を具体的に使用しない場合、それを使用する理由をビジネス/法的面で正当化するのが早く困難になり、実際の脆弱性を解決できない可能性があることは言うまでもありません。 ~のためhttps://access.redhat.com/errata/RHSA-2020:4060この問題がELREPOのアップデートで解決されていない場合（それらは次の点に興味があります。）強化されたハードウェアサポート）または他の人の更新は、実際に現在の問題を解決しない限り、「更新」という理由だけで第三者から更新を受け取りません。あなたはそれを調べる必要があります。
だから私の質問に客観的に答えてみましょう。 CentOSカーネルを更新してこの脆弱性を100％公式の方法で削除するにはどうすればよいですか？バニラCentOS：ElRepoリポジトリが必要ですか？会社の運営に重要なCentOS SFTPサーバーがあります。
- 持つただシステムで有効になった公式のCentOSリポジトリ[ストレージ]です。
/etc/yum.confこの保護メカニズムを利用するには、GPGを有効にしてください。- ただCentOS Linuxのインストール時に作成された公式のcentosリポジトリからカーネルアップデートを入手してください（無料ディストリビューションは自動的に有効になります）。
もちろん、それはあなたが実際に何を意味するかによって異なります。バニラただし、いいえ、SFTPがサーバーの唯一の機能である場合、SFTPを実装するためにELREPOまたはEPELは必要ありません。持つ当社の運営に非常に重要です。私の考えでは、公式のcentosリポジトリのみを使用する必要があり、特定のビジネス/セキュリティ問題を解決しない限り、epelやelrepoも使用しないでください。言った内容：CentOS 管理者が RedHat ソースをインポートして CentOS 用にビルドするには時間がかかります。それは真実だ。 CentOS側のカーネルアップデート（特にRHEL / CentOS 7.8から7.9へ）には時間がかかります。 CentOSはRHELによって提供され、RHELは常に何かを最初にリリースし、次にCentOSの人々がそれをインポートして実装することができますが、遅延が発生します。これが無料ディストリビューションを使用する価格です。状況が深刻な場合は、CentOS サーバーを切り離し、アップデートが表示されるまで待ちます。公式方法。この遅延時間を許可できない場合、会社は無料のCentOSの代わりに有料RHELサブスクリプションを使用する必要があります。
研究の最後に、カーネルを更新するためにElRepoリポジトリを追加するというアイデアが多くの記事で指摘されています。しかし、これがなぜ必要なのか知りたいです。
centos repo リンクの下部は次のとおりです。してはいけないことの例、そのような例に従わないでください。システムを追加または中断する前に、批判的な視点と考えを使用して提案された内容を理解してください。 ELREPOは優れたサードパーティのリポジトリであり、独自の場所があるため、この内容を少しずれたものとして説明します。しかし、これがその原則です。