お客様による Ghostscript 関連のパッケージのアップデート方法

Question

fukumotoxclara · Accepted Answer

お客様による Ghostscript 関連のパッケージのアップデート方法

2020年2月6日(木)

■問題の概要

平素は弊社サービスをご利用いただきましてありがとうございます。
弊社提供のサーバのOSに、RHEL7および、CentOS7を搭載しているサーバ、Flex Mini Cubeシリーズ、Flex Webシリーズ(CentOS7のみ)、KUSANAGI with Cubeシリーズで遠隔の第三者によって細工されたファイルを Ghostscript が処理することで、Ghostscript の権限で任意のコマンドを実行される可能性があると公表がありました。
詳細につきましては、以下のリンクをご参照ください。
※なお、サーバOSにRHEL5,CentOS5,RHEL6,CentOS6を搭載したサーバ、Flex Mini シリーズおよび、Flex Mini 2シリーズは,本脆弱性の対象外となります。

Ghostscript におけるアクセス制限回避の脆弱性
RedHat社のページ(CVE-2019-14869)

■脆弱性を受ける可能性が高いOSバージョンおよび、サービス名
弊社提供のサーバのOSにRHEL7および、CentOS7を搭載しているサーバ、Flex Mini Cubeシリーズ、Flex Webシリーズ(CentOS7のみ)、KUSANAGI with Cubeシリーズのみが対象となります。

■脆弱性の影響を受けるバージョン

Ghostscript 9.27 およびそれ以前

なお、今回の脆弱性におきましては、 Ghostscript 関連のパッケージのアップデートをお勧めいたします。
本ページでは、お客様ご自身にて Ghostscript 関連のパッケージのアップデートをおこなう方法をご案内いたします。
※2020年2月6日現在の情報となります。

アップデートに関する注意事項

・本手順は無保証となります。作業をされる際は、お客様の責任にておこなっていただけますようお願いいたします。
・お客様にて初期設定から設定をカスタマイズしている場合は、以下のアップデート手順で正常にアップデートできない可能性がございます。ご注意ください。

Ghostscript 関連のパッケージのアップデート方法

(1). SSH にてサーバにログイン
SSH にてサーバにログインし、root ユーザに切り替えます。

(2). インストールされているパッケージの確認

#rpm -qa | grep ghostscript

特に何も表示されない場合には、 Ghostscript のパッケージが入っておりません。脆弱性影響の対象外となります。
脆弱性の対象バージョンは以下のようなコマンドの出力結果となります。

例)rpm -qa | grep ghostscript
ghostscript-devel-9.07-31.el7_6.11.x86_64
ghostscript-9.07-31.el7_6.11.x86_64 ←作業をおこなう必要がある対象バージョン
ghostscript-fonts-5.50-32.el7.noarch

(3). Ghostscript 関連のパッケージアップデートの実施
以下のコマンドを実行し、 Ghostscript 関連のパッケージのアップデートを行います。

#yum update ghostscript

(4). アップデート後のパッケージバージョンの確認

# rpm -qa | grep ghostscript

上記コマンドを再度実行し、セキュリティパッチが適用されているパッケージのバーション(以下の青文字を参照)かどうかを確認します。

■セキュリティパッチが適用されているGhostscriptのパッケージのバーション
RHEL7,CentOS7 ghostscript-9.25-2.el7_7.3.x86_64

(5). 運用中のWebサイトの動作確認

以上、となります。

なお、コントロールパネルにPlesk Onyxをご利用されている場合には、Plesk上からも特定パッケージのみ選択して更新をおこなうことができます。
詳細な手法については、以下のFAQをご確認をいただきますようお願い致します。

Plesk Onyxで特定のパッケージのみアップデートをおこないたい

なお、お客様にて作業が難しい場合は、弊社サポート宛て(support@clara.ne.jp)までご依頼をいただきますようお願い致します。
弊社営業時間内(平日10:00-18:00)にて、弊社の任意のタイミングにて作業を実施させていただきます。
ご依頼の際のメールにつきましては、以下の内容を必ずご記載をいただきますようお願い致します。

□メールのご依頼フォーマット
メールの件名： Ghostscript のアップデート依頼
メールの本文
・更新対象サーバのホスト名および、IPアドレス
・パッケージの更新作業後のメールのご連絡の有無 (必要 or 不要)
※「必要」,「不要」のいずれかのご記載をいただきますようお願い致します。