fess セキュリティ対応

bash

いつも便利に利用させていただいている「5分で簡単に構築可能な全文検索サーバー」FessはJavaで書かれていて、先日発見されたLog4jの脆弱性対応が必要です。

FessのWebPageでは13.15.3へアップデートするようにとアナウンスが出ています。
※やんごとなき理由でアップデートできない場合の対応策も書かれています。

現状困っていないのならLog4jで問題になっているclassファイルを消すという対応が楽そうです。しかし、うちの環境はElasticsearch-7.12.1, Fess-13.12.1 と少し古く、良い機会なのでアップデートを行うことにしました。

アップデート作業

事前作業

設定ファイル群のバックアップ

ロストできない重要データがある場合は、elasticsearchのバックアップを検討する必要があるでしょう。うちの環境ではロストしても全く問題ないのでバックアップを取得せずにアップグレードを行います。

elasticsearch の アップデート

今回、Fess-13.15.3 をインストールしますから、対応するelasticsearch-7.15.xx をインストールします。インストール可能なバージョンを調べると7.15.2が良さそうです。
※ elasticsearchもJavaで書かれていますが、今回のLog4j脆弱性の影響は無いと書かれています。

アップデートで設定ファイルが変更された場合は、内容をよく比較して必要な修正を行います。

設定ファイルを修正したら、すぐにサービスを起動したくなりますが、古いpluginが残っている場合は起動に失敗しますので落ち着いてpluginの入れ替えを行います。java.lang.NoClassDefFoundError: org/elasticsearch/common/unit/TimeValue こんなんが出たら、古い何かが残っている可能性が高いです。

elasticsearchのplugin入れ替え

elasticsearch pluginは、fessのバージョンで指定されるものが変わります。注意深ドキュメントを参照します。13.15 インストールマニュアル

configsyncの導入

基本的にマニュアルの手順通りです。注意点は、古いconfigsyncを読み込まないように古いものは削除する必要があるというところです。

fessのアップデート

ダウンロードページから導入したいバージョン(今回は13.15.3)を取得します。

先に取得した設定ファイルのバックアップと比較して、必要なパラメータがあれば変更しておきます。
このあたり。

プロセス起動

elasticsearch -> fess の順で起動していきます。

無事にアップデートが完了しました 🙂

thumbnail生成スクリプト

サムネイル生成スクリプト(/usr/share/fess/generate-thumbnail)に修正が入っていましたが、redhat系ディストリビューション向けの修正で、debian系ディストリビューションでは以前このblogで書いたように修正が必要です。

パッチを作って投げようかと思ったのですが、他の環境での動作確認はできないし、そもそもpdf以外を検索していないということもあり、断念しました。

 

カテゴリー PCタグ

コメントを残す

メールアドレスが公開されることはありません。

日本語が含まれない投稿は無視されますのでご注意ください。(スパム対策)