お客様による KUSANAGI関連のパッケージのアップデート方法

Question

minchaeleexclara · Accepted Answer

2019年8月16日 (金）
2019年8月19日(月)-更新-

■問題の概要

平素は弊社サービスをご利用いただきましてありがとうございます。弊社提供のKUSANAGI with Cubeサービスで標準採用しておりますWebサーバ(HTTP/2 )の脆弱性(CVE-2019-9511, CVE-2019-9513, CVE-2019-9516,CVE-2019-10081, CVE-2019-9517, CVE-2019-10097)でサービス運用妨害 (DoS) 攻撃の公表がございました。詳細につきましては、以下のURLをご参照ください。

HTTP/2 の実装に対するサービス運用妨害 (DoS) 攻撃手法-JVN-
Apache HTTP Web Server 2.4 における複数の脆弱性に対するアップデート-JVN-
nginx [nginx-announce] nginx security advisory (CVE-2019-9511, CVE-2019-9513, CVE-2019-9516)

●脆弱性を受ける可能性が高いサービス名
KUSANAGI with Cubeサービスを利用している、かつWebサーバにnginxもしくは、Apacheを動作させていているサーバ
(弊社ご開通時の標準Webサーバは、nginxとなります。KUSANAGI with CubeサービスでApacheをご利用場合されている場合も本脆弱性の対象となります )

■脆弱性の影響を受けるバージョン

・nginx 1.9.5 から、nginx 1.17.2まで
・Apache HTTP Web Server 2.4.41 より前のバージョン(mod_http2モジュールを有効化されているサーバ)

なお、今回の脆弱性におきましては、 KUSANAGI 関連のパッケージのアップデートをお勧めいたします。
本ページでは、お客様ご自身にてKUSANAGI関連のパッケージのアップデートをおこなう方法をご案内いたします。
※2019年8月16日現在の情報となります。

アップデートに関する注意事項

本手順は無保証となります。作業をされる際は、お客様の責任にておこなっていただけますようお願いいたします。
お客様にて初期設定から設定をカスタマイズしている場合は、以下のアップデート手順で正常にアップデートできない可能性がございます。ご注意ください。
本手順のアップデート中につきましては、通常の場合は数秒程度Webサイトの表示が行えなくなりますのであらかじめご了承ください。

KUSANAGI関連のパッケージのアップデート方法(nginxの場合)

(1). SSH にてサーバにログイン
SSH にてサーバにログインし、root ユーザに切り替えます。

(2). インストールされているパッケージの確認

#rpm -qa | grep kusanagi-nginx

特に何も表示されない場合には、kusanagi-nginxのパッケージが入っておりません。脆弱性影響の対象外となります。
脆弱性の対象バージョンは以下のようなコマンドの出力結果となります。

例)
# rpm -qa | grep kusanagi-nginx
kusanagi-nginx-1.15.8-1.noarch　　←作業をおこなう必要がある対象バージョン

(3).nginxの文法チェック

#nginx -t

例)# nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
↑文法チェック上、問題ない場合のコマンドの出力例

※syntax is okおよび、is successfulという文字以外が、出力された場合にはパッケージのアップデート作業を中止してください。中止しない場合は、アップデート作業後、Webサーバが起動しなくなります。

(4). KUSANAGI関連のパッケージアップデートの実施

以下のコマンドを実行し、KUSANAGI関連のパッケージのアップデートを行います。

#yum update kusanagi-*

(5). アップデート後のパッケージバージョンの確認

#rpm -qa | grep kusanagi-nginx

上記コマンドを再度実行し、セキュリティパッチが適用されているパッケージのバーション(以下の青文字を参照)かどうかを確認します。
■セキュリティパッチが適用されているnginxのパッケージのバーション
kusanagi-nginx-1.17.3-1.noarch

(6). アップデート後のKUSANAGIのサービス再起動

#kusanagi restart

(7). Webサイトの動作確認

以上、となります。

KUSANAGI関連のパッケージのアップデート方法(Apacheの場合)

(1). SSH にてサーバにログイン
SSH にてサーバにログインし、root ユーザに切り替えます。

(2). インストールされているパッケージの確認

#rpm -qa | grep kusanagi-httpd

特に何も表示されない場合には、kusanagi-httpdのパッケージが入っておりません。脆弱性影響の対象外となります。
脆弱性の対象バージョンは以下のようなコマンドの出力結果となります。

例)
# rpm -qa | grep kusanagi-nginx
kusanagi-httpd-2.4.33-2.noarch　　←作業をおこなう必要がある対象バージョン

(3).nginxの文法チェック

#httpd -t

例)# httpd -t
[Mon Aug 19 12:20:27.949195 2019] [so:warn] [pid 8312] AH01574: module headers_module is already loaded, skipping
Syntax OK
↑文法チェック上、問題ない場合のコマンドの出力例

※Syntax OKという文字以外が、出力された場合にはパッケージのアップデート作業を中止してください。中止しない場合は、アップデート作業後、Webサーバが起動しなくなります。

(4). KUSANAGI 関連のパッケージアップデートの実施

以下のコマンドを実行し、kusanagi 関連のパッケージのアップデートを行います。