FreeBSDに３つのセキュリティ勧告

KENN 曰く、 " FreeBSDから、FreeBSD-SA-05:10.tcpdump、FreeBSD-SA-05:11.gzip、FreeBSD-SA-05:12.bind9の3つのセキュリティ勧告(SA)が出ている。

tcpdumpとbind9はいずれもDoS、gzipはかつて多くのアーカイバでも問題になったdirectory traversalに関する脆弱性のようだ。いずれもソースツリー内ではcontrib以下に含まれる、FreeBSD固有のものではないツールの脆弱性のため、他のOSにおいても対策が必要な場合もあると思われる。

なおtcpdumpに関しては、SAにReferencesとして記載されているbugtraqへの投稿を見る限り、etherealも同様の脆弱性を持っている模様である。"

まだ出そう？

[KENN (3839)]

「他のOSでも関係あるかも」と自分で書いたので調べてみました。

• gzipについては、Turbolinuxでアナウンスが出てます [turbolinux.co.jp]
• bind9については、9.3.1で修正されている [isc.org]ようです

debianには上記のツールに関するアナウンスは見当たらないんですが、逆にdebianで出てるbzipの脆弱性 [debian.org]が、FreeBSDのソースツリー内にあるものにはまだ残っている気がします。

Re:まだ出そう？

[Jadawin (2174)]

portsの最新では、bzipも直っているみたいですよ。

Re:まだ出そう？

[Anonymous Coward]

　そういえばSuSEでもこの１週間くらいにパッチが出てたな

あまり新しくない話のようだ

[vn (10720)]

ざっと読んだ限りでは、今から他の UNIX 系 OS に波及する話は少ないように見える。

5.4-RELEASE-p2

[mojalor (16164)]

tcpdumpとgzipに関してはcvsupしてmake worldで直りますね。

/usr/src/UPDATINGより抜粋：

20050608: p2 FreeBSD-SA-05:10.tcpdump, FreeBSD-SA-05:11.gzip
Correct several denial-of-service vulnerabilities in tcpdump.

Correct directory traversal and race condition vulnerabilities in gzip.

bind9の修正は含まれてないので近々p3が出るのかな？

Re:5.4-RELEASE-p2

[Anonymous Coward]

> bind9の修正は含まれてないので近々p3が出るのかな？

5.4 の bind9 は 9.3.1 であり、この脆弱性はありません。
影響があるのは 5.3 のみです。

bind9

[Anonymous Coward]

大抵の環境では影響なしと見ていいですかね。

Security Advisery のページ [freebsd.org]を読む限り、bind9を運用しており、DNSSECを有効にしていて、dnssec-enable; を named.conf に書いている管理者

以外には関係ない気がしますが。

# アップデートは必要と思いますです

Re:まぁ、

[Anonymous Coward]

なんだか読めないけど、OpenBSD って書いてあるから便乗告知。
OpenBSD では GNU CVS の脆弱性を修正したパッチが出ています。
3.7 にも影響しますので影響する方は要チェック。

オフトピなので AC.