Debian セキュリティ勧告
DSA-1617-1 refpolicy -- ポリシーの矛盾
- 報告日時:
- 2008-07-25
- 影響を受けるパッケージ:
- refpolicy
- 危険性:
- あり
- 参考セキュリティデータベース:
- Debian バグ追跡システム: バグ 490271.
Mitre の CVE 辞書: CVE-2008-1447. - 詳細:
-
DSA-1603-1 で Debian プロジェクトは BIND 9 ドメインネームサーバの更新を 行い、UDP ソースポートランダムを導入しました。これは DNS キャッシュ汚染 攻撃 (The Common Vulnerabilities and Exposures project では CVE-2008-1447 として登録されています) の脅威に対応したものです。この修 正は正しいものではありますが、Debian Etch で配布された SELinux のリファ レンスポリシーと互換性がありません。このポリシーでは、named_t ドメイン で走るプロセスが UDP ポートにバインドできるソケットに、標準の DNS ポー ト (53) 以外を許さないためです。この非互換性は、この版の refpolicy の 'targeted' および 'strict' ポリシーパッケージの両方に対するものです。
この refpolicy パッケージの更新では、named_t プロセスからの任意の UDP ポートへのバインドを許します。インストール後、更新されたパッケージでは、 0.0.20061018-5 以前のバージョンの refpolicy が既にロードされていた場合、 bind ポリシーモジュールを更新します。
Debian の refpolicy パッケージでは、ポリシーモジュールの更新を念頭に置 いて設計されたものとはなっておらず、SELinux が有効な Debian システムで は多くの場合サイト固有のポリシー設定が行われているため、新しいバインド ポリシーにより適切にアップグレードされることを保証するのは困難です。こ のため bind ポリシーの更新が失敗した場合でも、パッケージ更新は異常終了 はしません。新しいポリシーモジュールは、インストール後は /usr/share/selinux/refpolicy-targeted/bind.pp に置かれます。この bind サービスポリシーを利用したい管理者は、ポリシー の非互換性を修正し、その後手動で更新してください。修正手順についての詳 しい説明は、以下を参照ください。 https://wiki.debian.org/SELinux/Issues/BindPortRandomization
安定版 (stable) ディストリビューション (etch) では、この問題はバージョン 0.0.20061018-5.1+etch1 で修正されています。
不安定版 (unstable) sid には影響はありません。これは、以降の refpolicy パッケージには同様の修正が行われているためです。
直ぐに refpolicy パッケージをアップグレードすることを勧めます。
- 修正:
-
Debian GNU/Linux 4.0 (etch)
- ソース:
- http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018.orig.tar.gz
- http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018-5.1+etch1.diff.gz
- http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018-5.1+etch1.dsc
- http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018-5.1+etch1.diff.gz
- アーキテクチャ非依存コンポーネント:
- http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-strict_0.0.20061018-5.1+etch1_all.deb
- http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-doc_0.0.20061018-5.1+etch1_all.deb
- http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-targeted_0.0.20061018-5.1+etch1_all.deb
- http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-src_0.0.20061018-5.1+etch1_all.deb
- http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-dev_0.0.20061018-5.1+etch1_all.deb
- http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-doc_0.0.20061018-5.1+etch1_all.deb
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。