Atualize o Apache da v2.4.6 para a versão mais recente possível - CentoOS 7

Question

Eu procurei em todo o site, mas não consegui encontrar uma maneira fácil de atualizar o Apache sem recompilar. Eu instalei o httpd24 de este instruções, mas não consegui descobrir como substituir o httpd pelo httpd24.

Existe uma maneira de atualizar repositórios e usar o yum para lidar com a atualização do Apache?

Sendo um servidor de produção, gostaria de manter as coisas simples, para que os patches de segurança possam ser aplicados automaticamente.

Consegui atualizar o OpenSSL para a versão 1.1.0.

O que me motivou a atualizar: Eu quero que o servidor esteja atualizado com a segurança. Eu também estou trabalhando para uma pontuação A + em www.ssllabs.com/ssltest/. Eu estou atualmente em A. Eu vejo essas duas mensagens: Este site funciona apenas em navegadores com suporte a SNI. e Cliente não suporta parâmetros DH > 1024 bits. DHParameters (4096) é criado no servidor mas ...

SSLOpenSSLConfCmd DHParameters "/etc/ssl/certs/dhparam.pem"

... não funciona no Apache 2.4.6 e não quero adicioná-lo ao certificado ssl do site, pois ele é atualizado automaticamente pelo recurso Vamos criptografar.

    

Answer 1

O Red Hat / CentOS freqüentemente faz atualizações no software, retrocedendo essas mudanças na versão anterior (ou seja, atualiza a versão atual, mas não altera o número da versão atual). O httpd-2.4.6 é a mais recente 'versão' disponível do httpd para o CentOS 7.

Verificando a lista de anúncios, a última atualização para o httpd no CentOS 7 é CESA-2016 : 1422

Siga os links, em particular, vá para a errata correspondente da Red Hat, depois para a seção CVE para 1353755 . Se você ler o relatório do bugzilla, verá que estas últimas correções foram aplicadas ao httpd-2.4.6.40 para o Red Hat / CentOS. Também menciona que a ASF planeja abordar as questões em 2.4.24.

O mais recente httpd Apache é 2.4.23 . Dado que, se você estiver executando o httpd-2.4.6-40 no CentOS 7, você tem a versão mais recente e melhor do httpd para o CentOS 7.

    

Answer 2

RE: recebendo A + em www.ssllabs.com/ssltest/ Estava faltando essa opção:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Então, para obter uma pontuação A +, adicione todos esses parâmetros ao /etc/httpd/conf/httpd.conf

SSLProtocol all -SSLv2 -SSLv3
SSLHonorCipherOrder on
SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-GCM-SHA256:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"