大家好,

我是新的Ubuntu Linux系統初學用戶

目前我的服務器（DigitalOcean）正在使用的Ubuntu14.04.1LTS與Apache2.4.7

我想問問如何升級Apache的最新版本？

我有嘗試的apt-get更新系統，但Apache的版本仍然是相同的。
sudo apt-get update
sudo apt-get dist-upgrade

我想更新Apache2.4.7至2.4.11

http://httpd.apache.org/security/vulnerabilities_24.html

謝謝大家.

jlkw 寫到：
我有嘗試的apt-get更新系統，但Apache的版本仍然是相同的。
sudo apt-get update
sudo apt-get dist-upgrade

Ubuntu 提供的軟體於 Ubuntu 新版本釋出前會進行功能凍結(feature freeze)，功能凍結之後就 Ubuntu 不會引進軟體的新版本只會修正舊版本所包含的軟體缺陷

jlkw 寫到：
我想更新Apache2.4.7至2.4.11

http://httpd.apache.org/security/vulnerabilities_24.html

如果是因為舊版 Apache Web 伺服器有資訊安全漏洞想升級的話只要照常進行系統升級即可，因為 Ubuntu 只要該 Ubuntu 版本還在支援期間內就會向前移植(backport)安全性更新的修正到舊版本 Apache 上，察看 apache2 軟體包的變更紀錄(changelog)就可以判斷該資訊安全漏洞是否已被修正，比方說：
```
apache2 (2.4.7-1ubuntu4.1) trusty-security; urgency=medium

* SECURITY UPDATE: denial of service in mod_proxy
- debian/patches/CVE-2014-0117.patch: also skip over semicolons in
modules/proxy/proxy_util.c.
- CVE-2014-0117
```

主版本號沒有變不代表說有漏洞，如果檢查完發現該資訊安全漏洞久未能修正再考慮改用別的版本的 Apache 的問題。

又多學到了新的知識了，感恩。

另外補充一下，剛查了一下

下面這一段

Ｖ字龍 寫到：
```
apache2 (2.4.7-1ubuntu4.1) trusty-security; urgency=medium

* SECURITY UPDATE: denial of service in mod_proxy
- debian/patches/CVE-2014-0117.patch: also skip over semicolons in
modules/proxy/proxy_util.c.
- CVE-2014-0117
```

可以執行下面的指令看到

``` sh
$ vi /usr/share/doc/apache2/changelog.Debian.gz
```
「/usr/share/doc/apache2/changelog.Debian.gz」是Symbolic link 到「/usr/share/doc/apache2-bin/changelog.Debian.gz」

``` sh
$ ls /usr/share/doc/apache2/changelog.Debian.gz -l
```

也可以執行下面的指令來觀看changelog。

``` sh
$ apt-get changelog apache2-bin
```
從「/usr/share/doc/apache2-bin/changelog.Debian.gz」
最後一行「# For older changelog entries, run 'apt-get changelog apache2-bin'」學到的。


另外執行

``` sh
$ apt-get source apache2
```

會看到下面的訊息
```
Reading package lists... Done
Building dependency tree
Reading state information... Done
NOTICE: 'apache2' packaging is maintained in the 'Git' version control system at:
git://anonscm.debian.org/pkg-apache/apache2.git
Need to get 5,512 kB of source archives.
Get:1 http://tw.archive.ubuntu.com/ubuntu/ trusty-updates/main apache2 2.4.7-1ubuntu4.1 (dsc) [3,167 B]
Get:2 http://tw.archive.ubuntu.com/ubuntu/ trusty-updates/main apache2 2.4.7-1ubuntu4.1 (tar) [5,005 kB]
Get:3 http://tw.archive.ubuntu.com/ubuntu/ trusty-updates/main apache2 2.4.7-1ubuntu4.1 (diff) [505 kB]
Fetched 5,512 kB in 3s (1,399 kB/s)
gpgv: Signature made Tue 22 Jul 2014 10:02:18 PM CST using RSA key ID A744BE93
gpgv: Can't check signature: public key not found
dpkg-source: warning: failed to verify signature on ./apache2_2.4.7-1ubuntu4.1.dsc
dpkg-source: info: extracting apache2 in apache2-2.4.7
dpkg-source: info: unpacking apache2_2.4.7.orig.tar.bz2
dpkg-source: info: unpacking apache2_2.4.7-1ubuntu4.1.debian.tar.gz
dpkg-source: info: applying fhs_compliance.patch
dpkg-source: info: applying no_LD_LIBRARY_PATH.patch
dpkg-source: info: applying suexec-CVE-2007-1742.patch
dpkg-source: info: applying customize_apxs.patch
dpkg-source: info: applying build_suexec-custom.patch
dpkg-source: info: applying 086_svn_cross_compiles
dpkg-source: info: applying ignore-quilt-dir
dpkg-source: info: applying CVE-2013-6438.patch
dpkg-source: info: applying CVE-2014-0098.patch
dpkg-source: info: applying split-logfile.patch
dpkg-source: info: applying CVE-2014-0117.patch
dpkg-source: info: applying CVE-2014-0118.patch
dpkg-source: info: applying CVE-2014-0226.patch
```

上面的指令會下載「apache2」的「Source Package」並解開

``` sh
$ vi apache2-2.4.7/debian/changelog
```

觀看「apache2-2.4.7/debian/changelog」這個檔，一樣會看到

下面這一段

Ｖ字龍 寫到：
```
apache2 (2.4.7-1ubuntu4.1) trusty-security; urgency=medium

* SECURITY UPDATE: denial of service in mod_proxy
- debian/patches/CVE-2014-0117.patch: also skip over semicolons in
modules/proxy/proxy_util.c.
- CVE-2014-0117
```

Ｖ字龍 寫到：

jlkw 寫到：
我有嘗試的apt-get更新系統，但Apache的版本仍然是相同的。
sudo apt-get update
sudo apt-get dist-upgrade

Ubuntu 提供的軟體於 Ubuntu 新版本釋出前會進行功能凍結(feature freeze)，功能凍結之後就 Ubuntu 不會引進軟體的新版本只會修正舊版本所包含的軟體缺陷

jlkw 寫到：
我想更新Apache2.4.7至2.4.11

http://httpd.apache.org/security/vulnerabilities_24.html

如果是因為舊版 Apache Web 伺服器有資訊安全漏洞想升級的話只要照常進行系統升級即可，因為 Ubuntu 只要該 Ubuntu 版本還在支援期間內就會向前移植(backport)安全性更新的修正到舊版本 Apache 上，察看 apache2 軟體包的變更紀錄就可以判斷該資訊安全漏洞是否已被修正，比方說：
```
apache2 (2.4.7-1ubuntu4.1) trusty-security; urgency=medium

* SECURITY UPDATE: denial of service in mod_proxy
- debian/patches/CVE-2014-0117.patch: also skip over semicolons in
modules/proxy/proxy_util.c.
- CVE-2014-0117
```

主版本號沒有變不代表說有漏洞，如果檢查完發現該資訊安全漏洞久未能修正再考慮改用別的版本的 Apache 的問題。

谢谢 Ｖ字龍 .

這樣講那平時我們只要用apt-get的更新便可以了對嗎？

察看 apache2 軟體包的變更紀錄是以下这个吗?
http://changelogs.ubuntu.com/changelogs/pool/main/a/apache2/apache2_2.4.7-1ubuntu4.1/changelog

因為我在使用來http://sitecheck.sucuri.net/掃描我的網站.
掃描出Outdated Web Server Apache Found而發現我的Apache版本過舊.

附件:

---

  upload1.jpg (185.44 KB)

samwhelp 寫到：
另外補充一下，剛查了一下

忘了提怎麼看軟體包變更紀錄了XD 感謝 samwhelp 補充

察看軟體包變更紀錄的方式：
* 在 /usr/share/〈軟體包名稱〉/ 目錄底下 changelog 開頭的檔案即為該軟體包的變更紀錄
* 透過部份 APT 軟體包管理系統的圖形化介面前端程式(frontend)（很殘念的這並不包含 Ubuntu 預設安裝的「Ubuntu 軟體中心」）
* 透過 `$ apt-get changelog 〈軟體包名稱〉` 命令
* 族繁不及被載

jlkw 寫到：
谢谢 Ｖ字龍 .

這樣講那平時我們只要用apt-get的更新便可以了對嗎？

只要您信任 Ubuntu 的修補速度的話就可以了，如果真的緩不濟急的話再考慮以其他來源的 Apache 換掉 Ubuntu 提供的版本

jlkw 寫到：
察看 apache2 軟體包的變更紀錄是以下这个吗?
http://changelogs.ubuntu.com/changelogs/pool/main/a/apache2/apache2_2.4.7-1ubuntu4.1/changelog

參考上文說明，基本上軟體包版本號跟系統中安裝的一樣即可

jlkw 寫到：
因為我在使用來http://sitecheck.sucuri.net/掃描我的網站.
掃描出Outdated Web Server Apache Found而發現我的Apache版本過舊.

這類 Web 應用通常只會比對伺服器提供的主版本號來判斷是否有資訊安全漏洞，所以在會進行功能凍結的系統上會被誤判
以該軟體的已知資訊安全漏洞清單跟軟體包的變更紀錄為準