Как обновить OpenSSL до версии 1.0.2 на CentOS 6 / CentOS 7
Как разобраться с версией OpenSSL в CentOS и почему отдельная сборка не должна подменять системные пакеты.
Номер OpenSSL в CentOS выглядит старее, чем на сайте проекта. Это ещё не говорит, какие исправления есть в пакете: поставщик дистрибутива мог перенести их без смены основной версии. Прежде чем собирать другую библиотеку, проверим пакет и требования приложения. Если отдельная сборка всё же нужна, установим её изолированно.
Собираем сведения
openssl version -a
rpm -q openssl
yum info opensslСравните полный выпуск пакета и бюллетень поставщика с конкретной уязвимостью. Имя библиотеки в заголовке статьи не означает, что все приложения автоматически перейдут на неё. Программа может использовать собственную сборку или быть связана с другим путём.
Сборка в отдельный каталог
# В проверенном каталоге исходников нужного архивного выпуска:
./config --prefix=/opt/openssl-1.0.2 --openssldir=/opt/openssl-1.0.2/ssl
make
make test
# Установка требует отдельного согласованного шага администратора.Исходники получают из официального архива и проверяют по опубликованным контрольным данным. Префикс показывает принцип изоляции; команды не являются рекомендацией вводить неподдерживаемую библиотеку в эксплуатацию. До установки нужно определить, как целевое приложение выберет новую библиотеку и как вернуться назад.
Не подменяем систему ради строки версии
Перемещение /usr/bin/openssl и создание вместо него ссылки нарушают управление системными пакетами. Даже изменив вывод консольной команды, можно оставить веб-сервер на прежней библиотеке. Проверяйте фактическую связь приложения и выполняйте его собственный тест соединения.
Для рабочей системы стоит планировать переход на поддерживаемое окружение и проверять совместимость приложения. До этого нужно знать точную версию пакета, состояние исправлений и то, с какой библиотекой связано приложение. Новый номер у консольной команды сам по себе ни на один из этих вопросов не отвечает.