CVE-2015-8704まとめメモ

https://kb.isc.org/article/AA-01335/0

対象バージョン:
9.3.0->9.8.8,
9.9.0->9.9.8-P2, 9.9.3-S1->9.9.8-S3,
9.10.0->9.10.3-P2
権威サーバー、リゾルバサーバーどちらも該当

RFC3123で定められているAPL RRの処理に不具合があり、
特殊な内容を処理するとINSIST failureで異常終了する。

(追記: 冒頭のISCサイトで記載されているサンプルケース
　権威スレーブサーバーが権威マスターサーバーから特殊なレコードを受け取った場合
　権威マスターサーバーがDDNS updateで特殊なレコードを受け取った場合
　リゾルバサーバーが(debug logginしている場合に)特殊な回答を(悪意ある)権威サーバーから受け取った場合
　特殊な内容をキャッシュしている状態でrndc dumpdbした場合
　コード読めていませんがいずれもテキストファイルに書き出すと引っかかるみたいですね)

RFC3123: http://tools.ietf.org/html/rfc3123
EXPERIMENTAL
アドレスレンジ情報をDNSに載せるための実装らしい。初めてみましたが

foo.example.             IN APL 1:192.168.32.0/21 !1:192.168.38.0/28

のように記述するそうです。

やりたいことは理解できる気がします。

ディストリビューター対応リンク

https://access.redhat.com/security/cve/CVE-2015-8704

サポート中のRHEL5～7すべて該当

(追記: 1/27にリリースされました) 

https://www.debian.org/security/2016/dsa-3449

Debianも該当

過去の記憶のせいでINSISTって見るとかなり嫌な感じがします。