Debian セキュリティ勧告

DSA-1617-1 refpolicy -- ポリシーの矛盾

報告日時:

2008-07-25

影響を受けるパッケージ:

refpolicy

危険性:

あり

参考セキュリティデータベース:

Debian バグ追跡システム: バグ 490271.
Mitre の CVE 辞書: CVE-2008-1447.

詳細:

DSA-1603-1 で Debian プロジェクトは BIND 9 ドメインネームサーバの更新を行い、UDP ソースポートランダムを導入しました。これは DNS キャッシュ汚染攻撃 (The Common Vulnerabilities and Exposures project では CVE-2008-1447 として登録されています) の脅威に対応したものです。この修正は正しいものではありますが、Debian Etch で配布された SELinux のリファレンスポリシーと互換性がありません。このポリシーでは、named_t ドメインで走るプロセスが UDP ポートにバインドできるソケットに、標準の DNS ポート (53) 以外を許さないためです。この非互換性は、この版の refpolicy の 'targeted' および 'strict' ポリシーパッケージの両方に対するものです。

この refpolicy パッケージの更新では、named_t プロセスからの任意の UDP ポートへのバインドを許します。インストール後、更新されたパッケージでは、 0.0.20061018-5 以前のバージョンの refpolicy が既にロードされていた場合、 bind ポリシーモジュールを更新します。

Debian の refpolicy パッケージでは、ポリシーモジュールの更新を念頭に置いて設計されたものとはなっておらず、SELinux が有効な Debian システムでは多くの場合サイト固有のポリシー設定が行われているため、新しいバインドポリシーにより適切にアップグレードされることを保証するのは困難です。このため bind ポリシーの更新が失敗した場合でも、パッケージ更新は異常終了はしません。新しいポリシーモジュールは、インストール後は /usr/share/selinux/refpolicy-targeted/bind.pp に置かれます。この bind サービスポリシーを利用したい管理者は、ポリシーの非互換性を修正し、その後手動で更新してください。修正手順についての詳しい説明は、以下を参照ください。 https://wiki.debian.org/SELinux/Issues/BindPortRandomization

安定版 (stable) ディストリビューション (etch) では、この問題はバージョン 0.0.20061018-5.1+etch1 で修正されています。

不安定版 (unstable) sid には影響はありません。これは、以降の refpolicy パッケージには同様の修正が行われているためです。

直ぐに refpolicy パッケージをアップグレードすることを勧めます。

修正:

Debian GNU/Linux 4.0 (etch)

ソース:: http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018.orig.tar.gz; http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018-5.1+etch1.diff.gz; http://security.debian.org/pool/updates/main/r/refpolicy/refpolicy_0.0.20061018-5.1+etch1.dsc
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-strict_0.0.20061018-5.1+etch1_all.deb; http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-doc_0.0.20061018-5.1+etch1_all.deb; http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-targeted_0.0.20061018-5.1+etch1_all.deb; http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-src_0.0.20061018-5.1+etch1_all.deb; http://security.debian.org/pool/updates/main/r/refpolicy/selinux-policy-refpolicy-dev_0.0.20061018-5.1+etch1_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。