Debianのnginxパッケージに特権昇格の可能性(CVE-2016-1247)
10月26日にDebian上のnginxパッケージに脆弱性が報告されました。念の為、簡単にまとめてみます。
こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。
10月26日にDebian上のnginxパッケージに脆弱性が報告されました。念の為、簡単にまとめてみます。
修正方法
各ディストリビューションの情報を確認してください。
CVE概要(詳細は一次情報源のサイトをご確認ください)
- CVE-2016-1247
www-dataからrootへの特権昇格の可能性
/var/log/nginx以下のログファイルの取り扱い（権限設定）に問題が有り、ローカルのユーザ(www-data)からrootへの特権昇格の可能性が有ります。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
https://people.canonical.com/~ubuntu-security/cve/2016/CVE-2016-1247.html
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。
また、nginxサービスの再起動が発生しますので、pacemakerなど OSSのクラスタ製品やLifeKeeperな どの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます 。
