Debian セキュリティ勧告

DSA-1617-1 refpolicy -- ポリシーの矛盾

報告日時:
2008-07-25
影響を受けるパッケージ:
refpolicy
危険性:
あり
参考セキュリティデータベース:
Debian バグ追跡システム: バグ 490271.
Mitre の CVE 辞書: CVE-2008-1447.
詳細:

DSA-1603-1 で Debian プロジェクトは BIND 9 ドメインネームサーバの更新を 行い、UDP ソースポートランダムを導入しました。これは DNS キャッシュ汚染 攻撃 (The Common Vulnerabilities and Exposures project では CVE-2008-1447 として登録されています) の脅威に対応したものです。この修 正は正しいものではありますが、Debian Etch で配布された SELinux のリファ レンスポリシーと互換性がありません。このポリシーでは、named_t ドメイン で走るプロセスが UDP ポートにバインドできるソケットに、標準の DNS ポー ト (53) 以外を許さないためです。この非互換性は、この版の refpolicy の 'targeted' および 'strict' ポリシーパッケージの両方に対するものです。

この refpolicy パッケージの更新では、named_t プロセスからの任意の UDP ポートへのバインドを許します。インストール後、更新されたパッケージでは、 0.0.20061018-5 以前のバージョンの refpolicy が既にロードされていた場合、 bind ポリシーモジュールを更新します。

Debian の refpolicy パッケージでは、ポリシーモジュールの更新を念頭に置 いて設計されたものとはなっておらず、SELinux が有効な Debian システムで は多くの場合サイト固有のポリシー設定が行われているため、新しいバインド ポリシーにより適切にアップグレードされることを保証するのは困難です。こ のため bind ポリシーの更新が失敗した場合でも、パッケージ更新は異常終了 はしません。新しいポリシーモジュールは、インストール後は /usr/share/selinux/refpolicy-targeted/bind.pp に置かれます。この bind サービスポリシーを利用したい管理者は、ポリシー の非互換性を修正し、その後手動で更新してください。修正手順についての詳 しい説明は、以下を参照ください。 http://wiki.debian.org/SELinux/Issues/BindPortRandomization

安定版 (stable) ディストリビューション (etch) では、この問題はバージョン 0.0.20061018-5.1+etch1 で修正されています。

不安定版 (unstable) sid には影響はありません。これは、以降の refpolicy パッケージには同様の修正が行われているためです。

直ぐに refpolicy パッケージをアップグレードすることを勧めます。

修正:

Debian GNU/Linux 4.0 (etch)

ソース:
http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018.orig.tar.gz
http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018-5.1+etch1.diff.gz
http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018-5.1+etch1.dsc
アーキテクチャ非依存コンポーネント:
http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-strict_0.0.20061018-5.1+etch1_all.deb
http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-doc_0.0.20061018-5.1+etch1_all.deb
http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-targeted_0.0.20061018-5.1+etch1_all.deb
http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-src_0.0.20061018-5.1+etch1_all.deb
http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-dev_0.0.20061018-5.1+etch1_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。