2016-03-10(日本時間)に公開されたbindアップデート関連まとめメモ

なんとなくDNS関係に話題がしぼられてきたこのブログですが

bind 9.9.8-P4および9.10.3-P4がリリースされました。
セキュリティ上の問題３件に対する修正が含まれています。
一番影響ありそうなCVE-2016-1286がワークアラウンド無しなのでアップデート不可避。

• CVE-2016-1285

https://kb.isc.org/article/AA-01352/0
雑まとめ: リモートからcontrol channelに細工したパケットを送られるとサービスがexitする
対象: bind 9.Xほぼすべて (9.2.0 -> 9.8.8, 9.9.0->9.9.8-P3, 9.9.3-S1->9.9.8-S5, 9.10.0->9.10.3-P3)
回避策: rndc接続をlocalhostのみなどに制限する。(デフォルトはlocalhostのみ)
　　　　　例: named.conf内

controls {   inet 127.0.0.1 port 953  allow { 127.0.0.1; } keys { "rndc.key"; }; };

• CVE-2016-1286

https://kb.isc.org/article/AA-01353/0
雑まとめ: DNAMEレコードの処理において、サービスがexitする場合がある
　　　　　　("specific properties"の内容未確認)
対象: bind 9.Xのほぼすべて (9.0.0 -> 9.8.8, 9.9.0 -> 9.9.8-P3, 9.9.3-S1 -> 9.9.8-S5,  9.10.0 -> 9.10.3-P3)
　　　　リゾルバサーバーとして動いている場合は命中。ただし権威サーバーも、スレーブがマスターに送るSOA問い合わせとかのクエリで回答を細工されると被弾
回避策: アップデートしかない

• CVE-2016-2088

https://kb.isc.org/article/AA-01351/0
雑まとめ: bind 9.10のDNS Cookie処理に問題がある
対象: bind 9.10系列 (9.10.0 -> 9.10.3-P3)
回避策: DNS Cookie(Source Identity Tokens)サポートを無効にする
　　　　　コンパイルオプション"--enable-sit"の部分(named.confではない)
　　　　 RHEL7.2やUbuntu 14.04は9.9系なのでセーフ。Ubuntu 16.04が9.10だが未詳


なお、OpenSSLではCritical./High/Medium/Lowの４段階でしたが、ISCはCritical & Catastorophic/Critical/High/Medium/Lowの５段階とのことです。
https://kb.isc.org/article/AA-00861/0/ISC-Software-Defect-and-Security-Vulnerability-Disclosure-Policy.html

(3/17追記)

• RedHat
  https://rhn.redhat.com/errata/RHSA-2016-0459.html
• Miracle Linux
  https://tsn.miraclelinux.com/ja/node/6529
  https://tsn.miraclelinux.com/ja/node/6528