CentOS中的旧软件包版本是否意味着他们没有安全修复程序？

我们要求管理员在CentOS 6.5服务器上更新SVN.他这样做了,结果是SVN 1.6.11.但是当前版本的SVN是1.8.9.

我知道CentOS yum存储库并不总是最新的.但在那种情况下我很困惑：SVN 1.6.x不再正式支持.这意味着它没有得到任何安全修复程序！

官方CentOS存储库如何提供这样一个旧的(和危险的)版本？我们(或我们的管理员)有什么理解错误的方法吗？

作为企业分发,Red Hat将分发中的包锁定到特定版本,以便提供的功能是已知且一致的,并且在安装的生命周期内不会意外地更改行为.

如您所述,这意味着软件版本可能“旧”.

但是,they also backport security fixes可用时,将它们应用于旧版本.例如,在分发的整个生命周期中已经进行了许多安全修复.这允许保持安全系统而没有由于引入新功能(其确实不时发生)而导致破损的风险.

您可以通过搜索CVE编号获取Red Hat网站上有关specific security fixes的信息.

或者,要在线查看包的更改历史记录,请尝试：

rpm -q --changelog subversion

您将首先看到最新的条目,从以下开始：

* Wed Feb 12 2014 Joe Orton <[e-mail]> - 1.6.11-10
- add security fixes for CVE-2013-1968,CVE-2013-2112,CVE-2014-0032