Nginx公式パッケージとDebian LTSでのサポート (前編)

Nginx Logo
Nginx Logo
★★★ イベント情報 ★★★
◇【参加登録受付中】Kong Summit, Japan 2022◇
今年は12月15日に開催決定!最新情報とデモとともにKongと事例/ユースケースのご紹介などAPIエコノミーやマイクロサービスに関心のある開発者の方にとっては必見です。ぜひお申し込みください!イベントの詳細・お申込はこちら

★★★ Live配信告知 ★★★
◇11月29日開催 19:00~ 世界一わかりみの深いクラウドネイティブon Azure◇
テーマは「Web App for ContainersとKeycloakで最速OpenID Connect」です!

◇11月30日開催 17:00〜 知ってると ちょっと便利なコマンド集◇
知っていると少し効率の上がるようなコマンドをいくつかご紹介します!
Debian developerのやまねです。
私が管理する弊社サイトの一部ではWebサーバーとしてNginx(えんじんえっくす)を利用しています。
そして先日のこと、Nginxの脆弱性に対するリリースがありました。
2022-10-19
nginx-1.22.1 stable and nginx-1.23.2 mainline versions have been released, with a fix for the memory corruption and memory disclosure vulnerabilities in the ngx_http_mp4_module (CVE-2022-41741, CVE-2022-41742).
では早速更新されたパッケージを適用しよう…としたのですが、何故か特定サーバーには対応するパッケージが降ってきません。
更新が来ないサーバーで利用しているOSはDebian10 “buster”、すでに最新のリリースではなく旧安定版となってはいるものの、LTS(Long Term Support)フェーズでまだまだサポートが続いています。そしてNginxパッケージはNginxが提供しているPre-Built Packagesを利用しているのですが、何故だろう…と念の為公式サイトを見てみると「あれ?サポート対象にDebian10の文字がない!?」。
Debian11しかサポート対象として表示されていない
#Debian11しかサポート対象として表示されていない

「そんな馬鹿な!前に見た際にはDebian10があったはず…??」と思い、みんな大好きInternet Archiveから過去のサイトを見てみると、2022年9月上旬の時点ではしっかりと「10.x “buster”」の文字が。
Debian10もサポート対象となっている
#Debian10とDebian11がサポート対象として明記されている

そして10月下旬では消失しているのがわかります。
ここ一ヶ月半の間に消えてしまった…なぜ??となるわけですが、下手の考え休むに似たり。
考えても仕方がないので誰か事情のわかる人に聞いてみよう…と公式の窓口を探しました。
私がパッと思いついたのは「パッケージメンテナのメールアドレス」です。
自分もDebianパッケージメンテナなのでパッケージにはメンテナ名とメールアドレスが表示されるのを覚えていたのです。
$ apt show nginx
Package: nginx
Version: 1.22.1-1~bullseye
Priority: optional
Section: httpd
Maintainer: NGINX Packaging <nginx-packaging@f5.com>
Installed-Size: 3132 kB
Provides: httpd, nginx, nginx-r1.22.1
(上記はDebian11上でのNginx公式パッケージの情報です)
このパッケージメンテナとして表示されているF5社のアドレスに向かってダメ元で「どうして?」と質問を投げました(なお、この際ですがちょっとした小細工として、自分がDebianの開発者であること(=@debian.orgなメールアドレスを持っている)をメールフッタなどで明示しておきました)。
「今日気づいたのですが、Debian10へのサポートが終了しているようですが、Debian10はLTSでまだサポートが続いています。何かサポートポリシーの変更などがありましたか?」
するとありがたいことに6時間後(!)に返信が帰ってきました。
「サポートポリシーは変わってません。ディストリビューションの公式サポートで”main”フェーズのものだけをサポートしています。DebianのLTSは公式のセキュリティチームがサポートしていない(別のLTSチームが担当している)ですよね?」
ふむふむ、なるほどロジックとしては筋が通っている。
終わり。

 

…ではなく、長くなりますがもう少し続きます(後編へ)




ご覧いただきありがとうございます。
ブログの最新情報はSNSでも発信しております。
ぜひTwitterのフォロー&Facebookページにいいねをお願い致します!



>> 雑誌等の執筆依頼を受付しております。
   ご希望の方はお気軽にお問い合わせください!


ご覧いただきありがとうございます! この投稿はお役に立ちましたか?

役に立った 役に立たなかった

0人がこの投稿は役に立ったと言っています。
About Hideki Yamane 8 Articles
Debian developerを務める傍ら、猫や幼児の相手をしている(合間に仕事)。

Be the first to comment

Leave a Reply

Your email address will not be published.


*


質問はこちら 閉じる