6월 28일자로 업데이트 되었네요.
libbind 의 보안버그(buffer overflow) 소식입니다.
http://anon.free.anonymizer.com/http://isc.org/products/BIND/bind-security.html
DNS resolver 라이브러리에 버퍼 오버플로우가 존재합니다.
bind 의 경우에는 전 버젼에 해당합니다. bind 의 경우에는
8.x 대 사용자는 8.3.3 으로 업데이트를 해야 합니다.
9.x 의 경우에는 기본적으로 이 버그가 비활성화 되어 있으나, 만약
설치시에 configure 의 옵션으로 --enable-libbind 옵션을 주
었다면 영향을 받게 됩니다. 그러므로 이 옵션을 제거한 채로
재 컴파일을 해야 합니다. bind 9 의 bind 8 호환 라이브러리 libbind
는 다음 버젼에 업그레이드가 된다고 하니, 일단 configure 시에 옵션
의 여부를 판단하여 재설치 여부를 결정해야 합니다.
bind 4.x 사용자는 4.9.9 로 업데이트를 하십시오.
동적으로 컴파일 된 application 의 경우에는 library link 만 패치된
libbind 라이브러리로 변경해 주면 되며, 정적으로 컴파일된 application
의 경우에는 패치된 libbind 를 이용하여 재 컴파일을 해야 합니다.
얼마전의 zlib 보안버그와 유사하게 생각하면 될것 같네요.
현재 bind 의 안전(?) 버젼은
bind 4.9.9
bind 8.2.6, 8.3.3
bind 9.2.1
입니다. 위의 버젼외의 버젼을 사용하고 계신 분들은 모두 업그레이드
를 해 주셔야 합니다. 4.x, 8.x, 9.x 의 설정이 조금씩 다르기 때문에
자신의 버젼에 맞추어 업그레이드를 하면 됩니다.
프비의 경우에는
ftp://ftp.FreeBSD.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:28.resolv.asc
를 참고하십시오.
Redhat 7.2 사용하시는 분들은
ftp://mirror.oops.org/pub/Linux/Redhat/RPMS/7.2/bind8/
ftp://mirror.oops.org/pub/Linux/Redhat/RPMS/7.2/bind9/
에서 rpm 을 받아서 사용하시면 됩니다. :-)
--- 8.3.3-REL released --- (Wed Jun 26 21:15:43 PDT 2002)
1301. [func] log attempts to exploit #1300.
1300. [bug] Remote buffer overrun.
1299. [func] Log to xfer-in when a named-xfer fails and one of
the masters returned REFUSED.
1298. [bug] named could leak a OPT record when returning a
negative response.
1297. [func] 'ndc restart' will now attempt to preserve the
arguments named was started with.
Use 'ndc restart --' to clear the arguements.
Use 'ndc restart ' to restart named
with a alternate set of arguements.
1296. [bug] delay setting need_restart until the response to
ndc exec has been sent.
1295. [func] new ndc command 'args'. returns the arguements that
named was started with %xx escaped.
1294. [bug] #1272 broke linkage for those OS's using -lfl (flex).
Move -ll/-lfl to LIBL for all platforms.