意外とよく使うtarコマンドですが3月のニュースで脆弱性が見つかったと見ました。脆弱性のあるバージョンを調べるにはどうしたらよいでしょうか?情報が少なくて良い情報が見つかりませんでした。(英語圏のソースは英語が苦手なのであまり探してません)あと使ってるのはfedora4です。yumでバージョンアップはしてみました。必要な情報があれば追記します。06:04お返事ありがとうございます。(#172373)ってなってました。2005年でなんか怪しい気がします。ご紹介いただいたURLにこういう文があったのので自動翻訳してみました。affected.脆弱性はバージョン1.15.1で報告されました。先のバージョンは影響されるかもしれません。これは1.15.1に脆弱性があるという解釈でよろしいのでしょうか。自動翻訳って精度があんまり信頼できない気はするのですが、自分で訳すこともできないし・・。(alpha).脆弱性はバージョン1.15.90(アルファ)で修理されました。この二つをあわせると1.15.90で修正が完了したぽいですね。これはyumでは更新が追いつかずupdate出来ない事をあらわしてるんでしょうか。ソースコードから入れるしかないのかな。11:24FCは使ったことがないのですが。tar)のバージョンは一致するわけではないと思います。1.14-2.1でCVE-2006-0300が修正されているようです。#でも結局FCのセキュリティアップデートがどうなってるのかは#よくわかりません。「まで」について脆弱性が報告されています。どっちが本当なんでしょうか?あと、FC3については脆弱性が報告されていますがFC4についてはなぜかリストにありません。05:17>3ありがとうございます。一致しないこともあるのですね・・。私はあまり賢くないのでちょっと混乱してしまいました。>4改めてありがとうございます。私よりお詳しい方がわからないとなると・・やっぱり多様で柔軟な分linuxは難しい・・と少々感じてしまいます・・Win見たいにバイナリ自体をチェックすることは難しいですし・・>5お疲れ様です。有難い事であると思いました。ありがとうございます。リストにないということは、大丈夫と解釈・・・・したらやっぱりまずいですよね。分からないので・・もう少ししたら修正されたソースを探してソースで入れてみたいと思います。商用ソフトウェアじゃないので、すばやいリリースは難しいのですね。CVE-2006-0300という表示みたいなのを見ればいいらしいということが分かっただけでかなり勉強になりました。ありがとうございました。は↓これみたいですね。1.14ぼくのは1.14でした。13:17ちょっと話がそれますが、>やっぱり商用ソフトウェアじゃないので、すばやいリリースは難しいのですね。いうのは、違うのではないかと思います。Windowsのアップデートなんか平気で一ヶ月待たされますが、Linuxではソースからコンパイルする能力さえあればあっというまにセキュアなシステム構築が可能です。20:03>7ありがとうございます。みてみればhkobaさんの名前で英語コメントが・・。私も自分なりにtar-1.15.1-12.FC4とやらを探してみたのですが、何処を探していいかわからず見つかりませんでした。>8修正してないなら修正したほうがよいのでしょうけど、そのバージョンだけだとなんかよくわからないですね・・。>9確かにその通りなのかもしれないですけど、あまたのコマンドから構成されるlinuxで全てのソフトウェアコマンドについて、セキュリティーホールを把握するのは難しい気がしますし、統合して管理できる機能が、まだいまいち足りないかなという気がします。自分でも贅沢な要望だと思いますが・・。あ、でも私が英語ができないのが致命的なんですよね。実際は文句をいうのは筋違いかも・・。修正してないなら修正したほうがよいのでしょうけど、そのバージョンだけだとなんかよくわからないですね・・。Linuxディストロの場合はコマンドのバージョン表示でチェックするよりも、パッケイジそのもののバージョンのチェックが適切かと。unstableな環境は別の場合が多いでしょうけど。Debianなんかだと/usr/share/doc/[package]/changelog.Debian.gzを見るというのもありますが。さんhttp://download.fedora.redhat.com/pub/fedora/linux/core/updates/4/i386/tar-1.15.1-11.FC4.i386.rpmこれだと思いますが。Linuxにしましょう。仲間を増やそうとしてみる。チェックすれば素早くバグフィックスもできます。ちなみに今回のtarのアップデートパッケージは2006/4/2にリリースされています。早いとは言えないですが。パッケージ管理はRPMだからFedoraやRedHatな人なら乗り換えも楽です。22:26教えていただいてありがとうございます。fedora選んだのは、64bit環境が有効に活かせるということで選んだのですが、なかなか難しいです。結局ご紹介いただいたページなどからたどってこれを元にtarを入れることにしました。1.15.90)http://www.gnu.org/software/tar/#TOCdownloadingデストリビュージョン毎のパッケージのバージョンとは異なるのですね。headers.(該当の脆弱性はこれですね・・。)ソースのダウンロードはこちらからhttp://www.gnu.org/software/tar/#releasesこれで私はソースからインストールにて解決です。みなさま本当にありがとうございました。22:29あ、若干リンクミスがありました。/usr/local/bin/tarん?。Fenlason.になりました。確実に更新されたのでとりあえずは安心のようです。CVE-2006-0300の脆弱性に関してはパッチで対応してる場合もあるのでtarのバージョンが1.15.1や他のバージョンでもセキュリティーホールがあるとは必ずしもいえないのでしょうね・・。02:12なんかでかいですね。07:39ちょっと気になったのですが...。