この脆弱性対策されてるの？調べ方

CentOS 
324 名前：login:Penguin[sage] 投稿日：2010/10/24(日) 11:39:25 ID:b3/+bV7z [2/4]
あー、ごめん。勘違いしてただけかな。


CentOS5.5のyumでbind入れると「BIND 9.3.6-P1-RedHat-9.3.6-4.P1.el5_4.2」が
最新として入るけど、下記脆弱性は対策できてるの？

ttp://jprs.jp/tech/security/bind9-vuln-dynamic-update.html

BIND 9.6以上じゃないと対応できないのかと思ったけど、BIND 9.3にディストリ独自の
パッチが当たっていて脆弱性対策ができているって理解でOK？

326 名前：login:Penguin[sage] 投稿日：2010/10/24(日) 12:05:13 ID:/Z4xoj5d [2/2]
>>324
対策できてるかどうかはRHかCentOSのフォーラム辺りで情報収集してくれ。
どこかで見た気がするけど、情報追いかけるの面倒くさい。英語嫌い。

RH側の動きとしてはセキュリティパッチはちゃんとだしてる。
だからバージョンだけで脆弱性を判断するのは難しい。ということ。

327 名前：login:Penguin[sage] 投稿日：2010/10/24(日) 12:16:18 ID:3vz+uCt8
>>324
そのレベルの脆弱性修正もされてないbind持ってるディストリがあったとして、
企業ユースで大きなシェア持ってると思う？

341 名前：login:Penguin[sage] 投稿日：2010/10/24(日) 16:11:04 ID:b3/+bV7z [3/4]
>>326-327
サンクス。言ってる事はわかる。

自分自身は当時脆弱性に対応できてないのだと思って9.6を野良コンパイルしたので
問題無い。

が、これからリポジトリを利用する人が安心して使う為に>>319-321には、
この脆弱性が対策されているというソースを出してくれるとありがたい。

あと訂正。BIND 9.6系以上じゃなくて、BIND 9.4系以上で脆弱性に対応できると思ってた。
で、CentOS5のリポジトリにあるのはBIND 9.3系ね。

353 名前：login:Penguin[sage] 投稿日：2010/10/25(月) 03:58:01 id:zBUzobSU
>>341

まず、Red Hatは脆弱性の識別をすべてCVE番号で行っている。　で、>>324の記事では
CERT番号、725188が割り当てられているが、これをCVEの対応票で見てみる。

http://cve.mitre.org/data/refs/refmap/source-CERT-VN.html

そうすると、CVE-2009-0696が対応してると分かる。

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0696

で、これにRed Hatが対処しているかどうか調べる方法は色々あるが、簡単なのは
rpmの--changelog オプション。

# rpm -q --changelog bind | grep -B 1 CVE-2009-0696

* Wed Jul 29 2009 Adam Tkac  30:9.3.6-4.P1
- fix CVE-2009-0696 (#514292)

で、対応されていると分かる。 さらにそこにbugzilla 番号が入っているから
Red Hatの対応の詳しい履歴も分かる。

https://bugzilla.redhat.com/show_bug.cgi?id=514292

で、履歴を見れば分かる様に、脆弱性が発表されてから２日でRed Hatは
パッチを発行している。　馬の骨が野良ビルドする余地なし。

354 名前：login:Penguin[sage] 投稿日：2010/10/25(月) 04:26:06 id:VOOmMeJN
>>353
自分の雑然としたノウハウが綺麗に整理できた。大感謝！

355 名前：341[sage] 投稿日：2010/10/25(月) 05:36:41 id:uiwH8byT
>>353
丁寧な説明ありがとうございます！


356 名前：login:Penguin[sage] 投稿日：2010/10/25(月) 10:18:20 id:sbqO+Rud
このスレってキチガイばっかりかと思ってたけど
質問にちゃんと答えてくれるまともな人居たんだ

357 名前：login:Penguin[sage] 投稿日：2010/10/25(月) 10:25:19 id:V2hAhPNF
>>353
こんなの常識だよ……。
これわからなかったやつはちょっと反省した方がいい。

>>324からリンクたどれば>>328に行けるし。

358 名前：login:Penguin[sage] 投稿日：2010/10/25(月) 10:31:35 id:KDqQM7N4
--changelogオプションなんて知らなかったし

..うまくハイライトできない・・・