OpenSSL 0.9.8k ou superior no CentOS 5?

Question

Eu preciso atualizar o OpenSSL no meu servidor CentOS para 0.9.8k ou superior, no entanto, a versão mais recente nos repositórios oficiais do CentOS é 0.9.8e, muito antiga. Existe um repositório de terceiros que eu possa usar com versões mais recentes das bibliotecas do OpenSSL? Se não, alguém pode fornecer um rápido passo a passo de compilar uma nova versão do OpenSSL para o CentOS? Eu preciso disso para substituir a versão interna, então o passo a passo teria que explicar como criar um RPM compatível com CentOS.

    

Answer 1

Deixe-me adivinhar - PCI?

O que você realmente quer é ver os arquivos CVE da Red Hat (nos quais o CentOS se baseia) e verificou se a vulnerabilidade foi corrigida com base nessa lista (na maioria das vezes, foi). Se você estiver usando um scanner de terceiros que não reconhece sua versão atual, procure as definições OVAL para ver o status das vulnerabilidades, bem como se as correções foram portadas novamente; a partir daí, você pode mapeá-los para as versões "genéricas" atuais de seus aplicativos / bibliotecas (neste caso, OpenSSL).

link da Red Hat dá mais detalhes (que CentOS reference ) como sua política de backports. Você pode querer revisá-lo e poupar o trabalho de reconstruir o OpenSSL.

    

Answer 2

Lembre-se de que o RedHat suporta as correções de segurança e os pacotes e apenas incrementa o número do subversion do pacote e não o controle de versão do pacote. Como o Centos vem diretamente da RedHat, eu poderia esperar o mesmo de suas embalagens também.

    

Answer 3

Atualize para o Centos 6. Ele possui a versão 1.0.0 integrada. Veja a lista de pacotes e RPMs aqui: link

Mas nunca é uma boa ideia instalar duas versões do mesmo software em um sistema.